ISO/IEC 27090: Bedrohungen gegen KI-Systeme erkennen und eingrenzen

Problem in der Praxis

Viele Organisationen haben inzwischen ein ISMS, einige bereits ein KI-Managementsystem oder eine Risikomethodik nach NIST AI RMF. Beide beantworten aber nicht die Frage, die ein Pentest, ein Sicherheitsvorfall oder eine Aufsichtsanfrage stellt: Welche Angriffsarten gibt es überhaupt gegen ein KI-System, und wie unterscheiden sie sich von den Bedrohungen, auf die ein klassisches ISMS trainiert ist?

Ein Beispiel macht das Problem greifbar. Ein Unternehmen betreibt ein internes Klassifikationsmodell und hat dafür ein Risikomanagementsystem nach Artikel 9 des AI Act und eine ISO-27001-Zertifizierung. Beide Nachweise sagen nichts darüber, ob das Modell gegen gezielt präparierte Trainingsdaten gehärtet ist, ob ein Angreifer über wiederholte Abfragen Rückschlüsse auf sensible Trainingsdaten ziehen kann, oder ob eine nachgelagerte Anwendung ungeprüfte Modellausgaben an ein anderes System weiterreicht. Diese Fragen sind spezifisch für KI-Systeme und wurden bislang vor allem fragmentarisch behandelt: in Herstellerdokumentation, in Konferenzpapieren, in Communities wie OWASP. Ob vor ISO/IEC 27090 bereits eine andere internationale Norm dieses Thema vergleichbar gebündelt hat, ist nicht geprüft; diese Lücke war jedenfalls spürbar, unabhängig davon, ob sie zuvor vollständig unbesetzt war.

Das Risiko eines Leerlaufs ist dabei beidseitig. Wer die neue Norm ignoriert, lässt eine gerade erst strukturierte Bedrohungslandschaft ungenutzt liegen und riskiert, bei einem Vorfall ohne belastbare Erkennungs- und Abschwächungsmaßnahmen dazustehen. Wer sie überzeichnet, etwa als "den" Standard für KI-Sicherheit schlechthin, überschätzt ihre Reichweite: Sie ist noch keine vier Wochen alt, deckt laut unabhängiger Fachkommentierung vor allem gezielte, vorsätzliche Angriffe ab und lässt zufällige Fehler, Insiderrisiken und die Nutzung von KI als Angriffswerkzeug weitgehend außen vor.

CISO-Einordnung

ISO/IEC 27090:2026 ("Cybersecurity, Artificial intelligence, Addressing security threats and compromises to AI systems", eigene Umschreibung ohne die originalen Trennzeichen des englischen Titels) ist am 14.10.2026 als Edition 1 veröffentlicht worden, nach einer seit 2022 laufenden Vorarbeit in der Arbeitsgruppe ISO/IEC JTC 1/SC 27/WG 4. Der Umfang liegt bei 56 Seiten, die ICS-Klassifikation bei 35.030.

Nach den verfügbaren bibliografischen Angaben und einer unabhängigen Fachkommentierung (nicht am Normtext selbst geprüft, da ISO- und IEC-Werke für diesen Korpus nicht maschinell gelesen werden dürfen) behandelt die Norm neben den fünf Bedrohungsklassen auch deren Einordnung in den KI-Lebenszyklus und mögliche Gegenmaßnahmen, ergänzt um ein umfangreiches Literaturverzeichnis mit über 100 zitierten Quellen. Für die konkrete Abschnitts- und Anhangsgliederung bleibt die Originalnorm maßgeblich; dieser Artikel bildet sie bewusst nicht nach.

Fünf Bedrohungsklassen werden benannt, denen sich laut Fachkommentierung insgesamt mindestens ein Dutzend Einzelbedrohungen zuordnen lassen (die vollständige Liste ist nicht verifiziert, nur die fünf Oberklassen):

1. Poisoning: vorsätzliche Manipulation von Trainingsdaten oder Modellparametern, um ein KI-System gezielt zu schädigen oder in eine gewünschte Richtung zu verzerren.
2. Evasion: gezielt konstruierte Eingaben an ein bereits trainiertes, im Betrieb befindliches Modell, etwa manipulierte Anfragen oder Prompts, die es zu einer falschen Einschätzung verleiten, ohne das Modell selbst zu verändern. Anders als Poisoning setzt Evasion nicht an den Trainingsdaten an, sondern an der Inferenz.
3. Membership Inference und Model Inversion: Verfahren, mit denen sich aus dem Antwortverhalten eines Modells Rückschlüsse auf einzelne Trainingsdatenpunkte ziehen oder diese teilweise rekonstruieren lassen.
4. Model Stealing: systematischer Nachbau der Funktionalität oder der Parameter eines trainierten Modells, meist über wiederholte Abfragen und ohne Zugriff auf das Modell selbst. Verwandt, aber eigenständig ist die Extraktion von Trainingsdaten oder Prompts desselben Modells: Ein erfolgreicher Modellnachbau belegt für sich allein keinen Abfluss von Trainingsdaten, und umgekehrt.
5. Prompt Injection und Output Injection: zwei verwandte, aber getrennte Angriffspfade an einem bereits im Betrieb befindlichen KI-System. Prompt Injection manipuliert die Eingabeseite, etwa über direkt formulierte oder über scheinbar vertrauenswürdigen Kontext eingeschleuste Anweisungen, die das Modell zu unbeabsichtigtem Verhalten verleiten. Output Injection betrifft die Ausgabeseite: Eine nachgelagerte Anwendung verarbeitet die Modellantwort ungeprüft weiter und übernimmt darüber eingeschleuste Befehle oder Inhalte in ein anderes System (etwa eine Datenbank, eine Weboberfläche oder einen weiteren Dienst).

Die Norm selbst setzt diese fünf Klassen laut ihrer offiziellen Projektseite in Bezug zu ISO/IEC 42001 und ISO/IEC 38507 (für Erkennung und Abschwächung) sowie zu ISO/IEC 22989 und ISO/IEC 5338 (für mögliche organisatorische Folgen), und versteht sich ausdrücklich als Ergänzung zu ISO/IEC 27001 und ISO/IEC 27002. Zu EU AI Act, NIST AI RMF oder OWASP äußert sich die Norm in den geprüften bibliografischen Quellen nicht; die folgende Einordnung ist deshalb eine eigene redaktionelle Leistung dieses Korpus, keine Normaussage.

Einordnung in das bestehende Drei-Schichten-Modell (vgl. den Mapping-Artikel zu AI Act, ISO/IEC 42001 und NIST AI RMF): Dort steht der AI Act für die Rechtspflicht, ISO/IEC 42001 für das Managementsystem und das NIST AI RMF für die Methodik. ISO/IEC 27090 ergänzt dieses Modell um eine vierte, technische Ebene: das konkrete Bedrohungs- und Mitigationswissen, mit dem sich Artikel 15 AI Act (Genauigkeit, Robustheit, Cybersicherheit), die technischen Controls eines AIMS und die Measure-Funktion des NIST AI RMF inhaltlich füllen lassen. Ohne diese vierte Ebene bleiben Risikomanagementsystem und Managementsystem formal vollständig, aber inhaltlich generisch, weil sie nicht von sich aus sagen, welche KI-spezifischen Bedrohungen überhaupt zu berücksichtigen sind.

Verhältnis zu ISO/IEC 27001 und 27002: Ein klassisches ISMS kennt Zugriffskontrolle, Kryptografie, Schwachstellenmanagement und sichere Entwicklung, aber keine Begriffe wie Daten- oder Modellvergiftung, Membership Inference oder Prompt Injection. ISO/IEC 27090 übersetzt diese KI-spezifischen Bedrohungen in eine Sprache, die an bestehende ISMS-Prozesse (Risikobewertung, Kontrollauswahl, Vorfallmanagement) anschlussfähig ist, ohne Annex A neu zu schreiben.

Verhältnis zur OWASP Top 10 for LLM Applications (Ausgabe 2025, frei verfügbar unter CC BY-SA 4.0, kein ISO-Lizenzthema): Die beiden Listen überlappen, decken sich aber nicht vollständig, und ein Vergleich zeigt zwei lehrreiche Lücken in beide Richtungen. Die OWASP-Liste nennt Prompt Injection (LLM01) und unsachgemäße Ausgabebehandlung (LLM05), was sich auf die fünfte ISO-27090-Klasse abbildet; Daten- und Modellvergiftung (LLM04) entspricht der ersten Klasse; vertrauliche Informationsoffenlegung (LLM02) überschneidet sich mit Membership Inference und Model Inversion. Modelldiebstahl dagegen ist in der OWASP-Liste 2025 keine eigene Kategorie mehr: Die frühere Kategorie "Model Theft" (Ausgabe 2023) wurde gestrichen, das Thema teils der Kategorie Supply Chain (LLM03, Herkunfts- und Diebstahlfragen), teils der neuen Kategorie Unbounded Consumption (LLM10, ressourcenbasierte Extraktion) zugeordnet. ISO/IEC 27090 führt Model Stealing dagegen weiterhin als eigene Bedrohungsklasse. Für Evasion wiederum hat die OWASP-Liste keine unmittelbare eigene Entsprechung; das Thema klassischer adversarialer Eingaben taucht dort nur verteilt auf. Diese Gegenüberstellung ist eine eigene Einordnung dieses Korpus, keine autorisierte Mapping-Tabelle beider Organisationen, und sollte nicht als vollständige oder normersetzende Kreuzreferenz verwendet werden.

Verhältnis zum NIST AI RMF: Die Measure-Funktion (Bewertung der Vertrauenswürdigkeitsmerkmale, darunter "sicher und resilient") ist die naheliegende methodische Heimat für das Bedrohungswissen aus ISO/IEC 27090; die Map-Funktion profitiert von den fünf Bedrohungsklassen als Ausgangspunkt für die kontextbezogene Risikoidentifikation. NIST ist Public Domain und frei nutzbar, ISO/IEC 27090 ist lizenziert; eine Organisation kann das NIST-Vokabular nutzen, um ISO-27090-Bedrohungen methodisch einzuordnen, ohne dafür Normtext zu reproduzieren.

Zur Neuartigkeit: Weder die offizielle ISO-Projektseite noch eine unabhängige Fachkommentierung bezeichnen ISO/IEC 27090 als "ersten internationalen Standard" zu einem KI-Sicherheitsthema; diese Formulierung ist nicht belegt und wird hier bewusst nicht verwendet. Zutreffend und belegt ist, dass es sich um eine neu veröffentlichte, dedizierte internationale Norm zu Bedrohungen gegen KI-Systeme handelt, die bislang fragmentiert über Herstellerdokumentation, akademische Literatur und Communities wie OWASP behandelt wurden.

Umsetzungsperspektive

• Bedrohungswissen als Eingabe für bestehende Prozesse, nicht als neues Programm. Die fünf Bedrohungsklassen gehören in die bestehende KI-Risikobewertung (NIST Map-Funktion beziehungsweise AIMS-Risikoprozess nach ISO/IEC 42001), nicht in ein separates Vorhaben.
• Lebenszyklus- und Asset-Bezug nutzen. Laut Fachkommentierung ordnet Anhang A der Norm Angriffe dem KI-Lebenszyklus und den betroffenen Assets zu; dieser Gedanke lässt sich auch ohne Normtext übernehmen, indem ein KI-Inventar (bereits Grundlage des Drei-Schichten-Modells) um die Phase (Training, Validierung, Betrieb, Aktualisierung) und die exponierten Assets (Trainingsdaten, Modellparameter, Prompts, Ausgaben) ergänzt wird.
• Artikel 15 AI Act konkretisieren. Für Hochrisiko-KI verlangt Artikel 15 Genauigkeit, Robustheit und Cybersicherheit. Die fünf Bedrohungsklassen liefern eine erste, nicht abschließende Prüfliste dafür, was "Robustheit gegen Manipulation" im KI-Kontext bedeuten kann.
• OWASP als ergänzende, frei nutzbare Quelle für operative Anwendungen. Wo ISO/IEC 27090 lizenzpflichtig und reference-only bleibt, kann die frei verfügbare OWASP-Liste für den täglichen Entwicklungs- und Betriebsbetrieb (insbesondere bei LLM-gestützten Anwendungen) als Ausgangspunkt dienen, ohne dass dafür eine ISO-Lizenz nötig ist. Beide Quellen sollten als sich ergänzend behandelt werden, nicht als austauschbar.
• Lieferantenfragen stellen. Wer KI-Komponenten oder -Modelle von Dritten bezieht, kann die fünf Bedrohungsklassen als Gesprächsgrundlage nutzen, um zu erfragen, welche davon der Lieferant adressiert und welche beim eigenen Betrieb verbleiben.

Typische Fehler

1. ISO/IEC 27090 wird als Ersatz für ein ISMS oder ein AIMS missverstanden, statt als deren technische Ergänzung.
2. Die fünf Bedrohungsklassen werden als vollständige Bedrohungsliste behandelt, obwohl die Norm laut Sekundärquelle mindestens ein Dutzend Einzelbedrohungen fasst und die Oberklassen nur eine Gruppierung sind.
3. ISO/IEC 27090 und die OWASP Top 10 for LLM Applications werden als deckungsgleich behandelt, obwohl sie unterschiedliche Kategorien führen (Model Stealing nur bei ISO, keine eigene Evasion-Kategorie bei OWASP).
4. Die Norm wird als "erster internationaler Standard" zu KI-Sicherheit bezeichnet, ohne dass das an einer Quelle belegt ist.
5. Model Stealing, Membership Inference oder Poisoning werden allein mit klassischen ISMS-Controls (Zugriffskontrolle, Verschlüsselung) als erledigt betrachtet, ohne KI-spezifische Erkennungs- und Testverfahren.

Risiken und Trade-offs

Der zentrale Trade-off liegt in der Aktualität der Quellenlage. ISO/IEC 27090 ist zum Zeitpunkt dieses Artikels weniger als eine Woche veröffentlicht; die hier beschriebene Gliederung und Bedrohungstaxonomie stützen sich auf eine unabhängige Fachquelle, nicht auf eigene Einsicht in den lizenzierten Normtext. Das ist für ein reference-only-Vorgehen dieses Korpus angemessen, bedeutet aber, dass Detailaussagen zu einzelnen Unterbedrohungen, zum genauen Wortlaut der Abschnitte 5 bis 7 oder zu den Anhängen vor einer verbindlichen Nutzung an der Originalnorm zu prüfen sind.

Ein weiterer Trade-off betrifft den Fokus der Norm selbst: Nach unabhängiger Einschätzung konzentriert sich ISO/IEC 27090 auf aktive, vorsätzliche, gezielte Angriffe handlungsfähiger Angreifer, während natürliche und zufällige Bedrohungen (Konstruktionsfehler, Softwarefehler, Stromausfälle), Insiderrisiken und der Einsatz von KI als Angriffswerkzeug (statt als Angriffsziel) weitgehend außen vor bleiben. Wer sich allein auf ISO/IEC 27090 stützt, deckt damit nicht automatisch das volle Spektrum der KI-bezogenen Risiken ab, die ein AIMS nach ISO/IEC 42001 oder das NIST AI RMF bereits heute als Querschnittsthema führen.

Entscheidungspunkte

• Wird ISO/IEC 27090 als Referenzquelle beschafft (lizenzpflichtig), oder bleibt die Nutzung auf die frei verfügbare bibliografische Einordnung und auf ergänzende freie Quellen wie OWASP beschränkt?
• In welchen bestehenden Prozess wird das Bedrohungswissen eingehängt: KI-Risikobewertung nach NIST AI RMF, Risikoprozess des AIMS nach ISO/IEC 42001, oder beides?
• Wie wird mit Lieferanten von KI-Komponenten verfahren, wenn deren Zusicherungen zu den fünf Bedrohungsklassen fehlen oder unvollständig sind?
• Wird die OWASP Top 10 for LLM Applications als ergänzende, frei nutzbare Quelle parallel geführt, insbesondere für Anwendungsfälle mit großen Sprachmodellen?

Praktische Empfehlungen

1. Ordnen Sie die fünf Bedrohungsklassen (Poisoning, Evasion, Membership Inference/Model Inversion, Model Stealing, Prompt/Output Injection) Ihrem KI-Inventar zu, bevor Sie eine Beschaffung der Vollnorm erwägen.
2. Nutzen Sie die freie OWASP Top 10 for LLM Applications ergänzend für LLM-gestützte Anwendungen; behandeln Sie beide Quellen als sich ergänzend, nicht als austauschbar.
3. Verknüpfen Sie das Bedrohungswissen explizit mit Artikel 15 AI Act (Robustheit, Cybersicherheit) und mit der Measure-Funktion des NIST AI RMF, statt ein neues, paralleles Programm aufzusetzen.
4. Vermeiden Sie die Aussage "erster internationaler Standard" für ISO/IEC 27090, solange sie nicht belegt ist.
5. Beobachten Sie die Sekundärquellenlage zu ISO/IEC 27090 weiter, solange keine eigene Einsicht in den Normtext vorliegt, und kennzeichnen Sie unsichere Details ausdrücklich als vorläufig.
6. Fragen Sie KI-Lieferanten gezielt nach den fünf Bedrohungsklassen, statt sich auf allgemeine Sicherheitszusicherungen zu verlassen.

Relevante Normreferenzen

• ISO/IEC 27090:2026: lizenziert (gemeinsam ISO/IEC), reference-only; nur bibliografische Angaben, Gliederung und Bedrohungsklassen aus Sekundärquellen, keine Normtextzitate. Veröffentlicht 14.10.2026, Edition 1, ISO/IEC JTC 1/SC 27, ICS 35.030.
• ISO/IEC 42001:2023: lizenziert, nur Strukturbezug; von ISO/IEC 27090 selbst als Grundlage für Erkennung und Abschwächung genannt.
• ISO/IEC 27001 und ISO/IEC 27002: lizenziert, nur Strukturbezug; von ISO/IEC 27090 ausdrücklich als Ergänzungsziel genannt, nicht als Ablösung.
• EU AI Act (Verordnung (EU) 2024/1689): unmittelbar geltendes EU-Recht, frei zitierbar; Artikel 15 (Genauigkeit, Robustheit, Cybersicherheit) ist der zentrale Anknüpfungspunkt für das technische Bedrohungswissen aus ISO/IEC 27090.
• NIST AI RMF (AI 100-1 / AI 600-1): Public Domain, frei nutzbar; Measure-Funktion als methodische Heimat für KI-spezifisches Bedrohungswissen.
• OWASP Top 10 for LLM Applications (Ausgabe 2025): frei verfügbar unter CC BY-SA 4.0, kein ISO-Lizenzthema; ergänzende, nicht deckungsgleiche Quelle speziell für LLM-Anwendungen.