Stell dir vor, ein KI-Tool liefert dir in Sekunden einen fertigen Incident Report, eine Detection Rule oder die Empfehlung, eine IP-Adresse sofort zu blockieren. Was tust du jetzt? Genau an dieser Stelle entscheidet sich, ob KI in deiner Arbeit zu einem verlässlichen Werkzeug wird oder zu einem Risiko. Diese Anleitung führt dich durch die vier Grundprinzipien ethischer KI-Nutzung, zeigt dir klare Situationen, in denen du auf KI verzichten solltest, und gibt dir eine Checkliste an die Hand, die du bei jeder Nutzung im Kopf behältst.
Das Video wird erst beim Abspielen von YouTube geladen – dabei werden Daten (u. a. deine IP-Adresse) an YouTube bzw. Google übertragen. Mehr dazu in der Datenschutzerklärung
Wichtigste Erkenntnisse
Wichtigste Erkenntnisse
- Ethische KI-Nutzung ruht auf vier Säulen: Transparenz, Verantwortlichkeit, Sorgfaltspflicht und Verhältnismäßigkeit.
- Die Verantwortung für ein Ergebnis trägst immer du, nie die KI.
- Bei rechtlichen Fragen, Personalentscheidungen, kritischen Freigaben ohne Prüfung und vertraulichen Daten verzichtest du auf KI.
- Transparenz über den KI-Einsatz ist kein Eingeständnis von Schwäche, sondern ein Zeichen von Professionalität.
- Der Merksatz dieser Lektion lautet: Fehler der KI sind deine Fehler, wenn du sie nicht prüfst.
Schritt-für-Schritt-Anleitung
Schritt 1: Die vier Säulen verinnerlichen
Bevor du KI einsetzt, solltest du wissen, nach welchen Grundsätzen du handelst. Die erste Säule ist die Transparenz. Du gehst offen damit um, dass du KI nutzt, kennzeichnest KI-generierte Inhalte, wenn es relevant ist, und verschleierst nicht, wie ein Ergebnis entstanden ist.
Die zweite Säule ist die Verantwortlichkeit. Die KI ist ein Werkzeug, du bist der Entscheider. Das bedeutet ganz konkret: Du stehst für jedes Ergebnis ein, das du weitergibst oder umsetzt. Die dritte Säule ist die Sorgfaltspflicht. Prüfe KI-Ergebnisse kritisch, verifiziere sie, bevor du handelst, und dokumentiere deine Validierung. Die vierte Säule ist die Verhältnismäßigkeit. Setze KI dort ein, wo sie tatsächlich hilft, und nicht dort, wo sie zusätzliche Risiken erzeugt. Manchmal ist weniger eben mehr.
Schritt 2: Erkennen, wann du bewusst auf KI verzichtest
Nicht jede Aufgabe eignet sich für KI. Die erste Situation, in der du die Finger von der KI lassen solltest, sind kritische Entscheidungen ohne Validierung. Wenn die KI meldet, eine IP-Adresse sei bösartig, blockierst du sie nicht blind. Ebenso darf eine KI niemals über die Kündigung eines Mitarbeiters entscheiden. Je größer die Auswirkung einer Entscheidung ist, desto gründlicher muss die menschliche Prüfung ausfallen.
Der zweite Fall betrifft rechtliche und Compliance-Aussagen. Eine KI ist kein Anwalt. Wenn du wissen willst, ob ein Vorfall meldepflichtig ist, fragst du einen Juristen und nicht ChatGPT. Die KI darf dir beim Verständnis helfen und in deinen Entscheidungsprozess einfließen, das letzte Wort hast aber du.
Ein dritter Fall betrifft die Erklärbarkeit. Fragt dich ein Auditor, warum du eine Entscheidung getroffen hast, reicht der Verweis auf die KI nicht aus. Du musst deine Entscheidungen selbst begründen können. Ebenso tabu ist der Einsatz von KI für Bewertungen von Personen, etwa Mitarbeitern oder Bewerbern, sowie für disziplinarische Maßnahmen. Hier muss ein Mensch den Menschen bewerten. Leider geschieht das in vielen Unternehmen und auch in Banken schon häufig. Das muss aufhören.
Der letzte klare Ausschlussgrund ist fehlende Vertraulichkeit. Gib keine sensiblen Daten an die KI weiter. Als Faustregel gilt: Wenn du zögerst, ob KI angemessen ist, nutze sie nicht.
Schritt 3: Transparenz im Arbeitsalltag leben
Transparenz ist in der Praxis oft unbequem, aber sie schafft Vertrauen. Für interne Dokumente empfiehlt sich ein kurzes, ehrliches Statement am Anfang oder Ende. Ein Incident Report könnte etwa vermerken, dass er mit Unterstützung von ChatGPT erstellt wurde, dass alle Fakten manuell verifiziert wurden und dass die Timeline auf Logdaten basiert und vom IR-Team validiert wurde. Du musst nicht jeden Satz kennzeichnen, aber der Leser sollte wissen, woran er ist.
Ähnlich verfährst du bei Detection Rules. Wenn du sie zunächst mit KI erstellt und danach selbst geprüft und getestet hast, nenne das. Dasselbe gilt für Präsentationen: Ein Satz wie „Die Schlussfolgerungen sind meine eigenen“ genügt oft.
Was du unbedingt vermeiden solltest, ist, KI-Inhalte als komplett eigene Arbeit auszugeben oder zu verschweigen, dass die KI maßgeblich beigetragen hat. Wenn die KI achtzig Prozent der Arbeit erledigt hat, wäre es unehrlich, so zu tun, als hättest du stundenlang selbst recherchiert. Merke dir: Transparenz ist kein Eingeständnis von Schwäche. Sie zeigt Professionalität und Integrität.
Schritt 4: Die Verantwortungscheckliste anwenden
Die Checkliste begleitet dich idealerweise bei jeder einzelnen KI-Nutzung. Vor der Nutzung prüfst du, ob die KI für diese Aufgabe überhaupt angemessen ist, ob die Daten, die du eingeben willst, dafür freigegeben sind und ob du sie gegebenenfalls anonymisiert hast. Außerdem solltest du verstehen, was du von der KI erwartest.
Während der Nutzung formulierst du präzise Prompts und lässt Unsicherheiten zu. Sag ruhig „Ich weiß es nicht“, statt die KI zu einer Antwort zu zwingen. Frage nach Quellen und Confidence-Angaben und sei skeptisch bei Antworten, die zu perfekt wirken.
Nach der Nutzung kommt die eigentliche Prüfung. Hast du die Ergebnisse kritisch geprüft? Hast du Fakten verifiziert, also etwa IoCs, CVEs oder Zeitangaben? Kannst du die Ergebnisse selbst begründen? Hast du die KI-Nutzung dokumentiert? Und würdest du die Entscheidung auch ohne KI so treffen? Bei der Weitergabe machst du den KI-Einsatz transparent, bestätigst, dass alle Fakten verifiziert sind, und übernimmst die volle Verantwortung für den Inhalt.
Diese Checkliste sollte zur Gewohnheit werden. Mit der Zeit brauchst du nicht mehr jeden Punkt bewusst durchzugehen, aber die Fragen müssen automatisch in deinem Kopf auftauchen.
Schritt 5: Ethische Graubereiche durchdenken
Ethik ist selten schwarz oder weiß. Nimm etwa eine Zeitdrucksituation während eines aktiven Incidents. Darfst du KI-Empfehlungen direkt umsetzen? Bei akuter Gefahr ist das vertretbar, allerdings musst du das Vorgehen unmittelbar nach dem Vorfall dokumentieren und validieren. Die Devise lautet: Containment first, Validation second, aber die Validierung kommt bestimmt.
Ein anderer Graubereich ist der Junior Analyst, der KI-Ergebnisse als eigene Arbeit ausgibt. Ob das Betrug ist, hängt vom Kontext ab. Handelt es sich um eine Lernaufgabe, ist das problematisch. Bei produktiver Arbeit mit konkretem Ergebnis wiegt es weniger schwer, transparent wäre es aber auch dann besser.
Stell dir vor, dein KI-gestützter Report kommt bei deinem Chef hervorragend an. Musst du erwähnen, dass die KI geholfen hat? Intern solltest du das in jedem Fall erwähnen, denn eine ehrliche Feedbackkultur lebt davon. Entscheidend ist: Du hast die Prompts geschrieben, die Ergebnisse validiert und angepasst. Das ist auch Arbeit. Im Zweifel gilt: Mehr Transparenz ist besser als weniger.
Schritt 6: Team-Guidelines etablieren und dein Commitment festhalten
Ethik betrifft nicht nur dich als Einzelperson. Sinnvoll ist es, gemeinsame Team-Guidelines für den KI-Einsatz zu etablieren. Eine solche Richtlinie umfasst Grundsätze, die erlaubte Nutzung, die verbotene Nutzung, Regeln zur Qualitätssicherung, Vorgaben zur Dokumentation und einen festen Ansprechpartner für offene Fragen. Diese Guidelines sollte jeder im Team kennen und unterschreiben.
Zum Abschluss steht dein persönliches Commitment. Fasse für dich zusammen: Du bist transparent, du übernimmst die Verantwortung, du prüfst, verifizierst und dokumentierst, und du setzt KI nur dort ein, wo sie sinnvoll ist. Die KI macht dich nicht automatisch zu einem besseren Security Professional. Ein guter Security Professional, der KI verantwortungsvoll nutzt, dagegen schon.
Zusammenfassung – KI verantwortungsvoll nutzen: Ethik-Guidelines für den Security-Alltag
Du hast gesehen, dass verantwortungsvolle KI-Nutzung auf vier Säulen ruht: Transparenz, Verantwortlichkeit, Sorgfalt und Verhältnismäßigkeit. Du erkennst Situationen, in denen du auf KI verzichtest, etwa bei rechtlichen Fragen, Personalentscheidungen, fehlender Erklärbarkeit oder vertraulichen Daten. Du weißt, wie du deinen KI-Einsatz ehrlich kommunizierst und mit der Verantwortungscheckliste vor, während und nach jeder Nutzung sauber arbeitest. Und du hast Impulse für gemeinsame Team-Guidelines erhalten. Behalte den Merksatz im Kopf: Fehler der KI sind deine Fehler, wenn du sie nicht prüfst.
FAQ
Muss ich jedes Dokument mit einem KI-Hinweis versehen?Nein, du musst nicht jeden Satz kennzeichnen. Ein transparentes Statement am Anfang oder Ende des Dokuments ist gute Praxis.
Darf ich KI-Empfehlungen bei einem akuten Incident sofort umsetzen?Bei akuter Gefahr ist das vertretbar, du musst das Vorgehen aber unmittelbar nach dem Vorfall dokumentieren und validieren.
Darf ich KI für Bewertungen von Mitarbeitern oder Bewerbern nutzen?Nein, Bewertungen von Personen und disziplinarische Entscheidungen sollten Menschen treffen, nicht KI-Systeme.
Muss ich meinem Chef sagen, dass eine KI an meinem Report mitgewirkt hat?Intern solltest du den KI-Einsatz erwähnen. Eine ehrliche Feedbackkultur fördert Vertrauen und Transparenz.
Was tue ich, wenn ich unsicher bin, ob KI in einer Situation angemessen ist?Dann nutze sie nicht. Als Faustregel gilt: Wenn du zögerst, verzichte auf den Einsatz.
