Chatbot-Anbieter: Sicherheitsnachweise prüfen

Das Problem

Der Anbieter schreibt auf seiner Website: «Höchste Sicherheit, Ihre Daten sind bei uns geschützt.» Das klingt gut. Aber Frau Müller, die für ihr Unternehmen einen Chatbot einführen soll, fragt sich: Woran erkenne ich, ob das stimmt? Sie ist keine IT-Sicherheitsexpertin und möchte trotzdem die richtigen Fragen stellen.

Sicherheitsversprechen kosten nichts. Belege kosten Aufwand, deshalb zeigen sie, wie ernst ein Anbieter es meint. Für einen Chatbot, der mit Kundenanfragen oder Firmendokumenten arbeitet, ist das wichtig: Dort landen Personendaten und Geschäftsgeheimnisse.

Diese Checkliste zeigt, welche Unterlagen Sie verlangen können, wie Sie sie lesen und wann Sie Fachleute beiziehen sollten. Sie ersetzt keine Sicherheitsprüfung, hilft aber, Marketing von Nachweisen zu unterscheiden.

So lösen Sie es mit KI – Schritt für Schritt

1. Schutzbedarf einschätzen. Notieren Sie, welche Daten der Chatbot sieht: nur öffentliche Texte, Kundendaten oder interne Dokumente? Je sensibler, desto mehr Nachweise brauchen Sie.

1. Eine Nachweisliste verlangen. Bitten Sie den Anbieter schriftlich um Sicherheitskonzept, Zertifikate, Prüfberichte, Datenschutzunterlagen und eine Liste der Unterauftragnehmer. Siehe Auftragsverarbeitung prüfen.

1. Geltungsbereich lesen. Ein Zertifikat gilt für bestimmte Standorte, Dienste und Zeiträume. Prüfen Sie, ob genau das Produkt gemeint ist, das Sie kaufen.

1. Datum und Aussteller prüfen. Ist das Zertifikat aktuell? Wer hat es ausgestellt, eine unabhängige Stelle oder der Anbieter selbst?

1. Technische Massnahmen erfragen. Verschlüsselung, Zugriffsrechte, Protokollierung, Trennung von Kundendaten, Backups, Umgang mit Sicherheitsvorfällen. Siehe Verschlüsselung prüfen.

1. Vorfälle und Meldewege klären. Wie und wann informiert der Anbieter bei einer Panne? Steht das im Vertrag?

1. Antworten bewerten. Ausweichende oder pauschale Antworten sind ein Warnsignal. Notieren Sie, was belegt, was versprochen und was offen ist.

1. Bei hohem Schutzbedarf Fachleute beiziehen. Eine IT-Sicherheitsfachperson oder Ihre Datenschutzberaterin kann Unterlagen beurteilen.

Vorlage zum Kopieren

Diese Anfrage senden Sie dem Anbieter per E-Mail. Passen Sie die Angaben an.

Guten Tag
Wir prüfen den Einsatz Ihres Chatbots [Produktname] bei [Firmenname] für [Zweck, z. B. Kundenanfragen]. Dabei bearbeiten wir voraussichtlich [Datenarten].
Bitte senden Sie uns folgende Unterlagen:
1. Sicherheitskonzept bzw. Beschreibung der technischen und organisatorischen Massnahmen
2. Gültige Zertifikate und Prüfberichte mit Geltungsbereich und Datum
3. Standorte der Datenverarbeitung und Speicherung
4. Liste der Unterauftragnehmer
5. Beschreibung des Vorgehens bei Sicherheitsvorfällen und Meldefristen
6. Datenschutz- und Auftragsverarbeitungsvertrag
Bitte teilen Sie uns mit, welche Punkte nicht verfügbar sind.
Freundliche Grüsse [Name]

Setzen Sie eine Frist von zwei Wochen und heben Sie die Antworten für den Entscheid auf.

Ein Praxistipp: Machen Sie aus den Antworten eine kleine Ampel. Grün: belegt und für den Dienst gültig. Gelb: versprochen, aber ohne Beleg oder mit unklarem Geltungsbereich. Rot: keine Antwort oder Ausweichen. So sehen Geschäftsleitung und Datenschutzverantwortliche auf einer Seite, wo der Anbieter steht, und Sie müssen keine Fachtexte zusammenfassen. Wichtig: Eine rote Zeile ist kein automatisches Aus, aber ein Gesprächsthema vor Vertragsabschluss.

Fragen Sie zudem nach einem Ansprechpartner für Sicherheitsfragen. Anbieter, die einen solchen Kontakt nennen können, haben das Thema meist organisiert. Wenn Sie nur ein allgemeines Kontaktformular erhalten, ist das ein Hinweis, dass Sicherheitsanfragen eher nebenbei behandelt werden.

Worauf Sie achten müssen

• Zertifikat heisst nicht fehlerfrei: Ein Standard wie ISO/IEC 27001 beschreibt ein Managementsystem für Informationssicherheit. Er sagt etwas über Organisation und Prozesse aus, nicht über jedes einzelne Produkt. Prüfen Sie den Geltungsbereich.
• Eigene Aussagen: Ein selbst ausgestelltes «Sicherheitssiegel» ersetzt keinen unabhängigen Bericht.
• Schweizer Recht: Das Datenschutzgesetz verlangt angemessene Datensicherheit. Als Verantwortliche bleiben Sie in der Pflicht, auch wenn der Anbieter die Technik betreibt. Im Zweifel fachlich beraten lassen.
• Aktualität: Sicherheit ist nie «fertig». Fragen Sie, wie oft geprüft wird und wie Sie über Änderungen informiert werden.
• Eigene Verantwortung: Auch beim besten Anbieter helfen starke Passwörter, saubere Zugriffsrechte und geschulte Mitarbeitende.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Treuhandbüro in Chur will einen Chatbot für Kundenanfragen einsetzen. Zwei Anbieter schreiben «sicher und DSG-konform».

Vorher: Frau Müller kann die Angebote nicht vergleichen. Nachher: Sie sendet beiden dieselbe Anfrage. Anbieter A liefert Konzept, Zertifikat mit Geltungsbereich und Unterauftragnehmer-Liste. Anbieter B verweist auf eine Website-Seite ohne Nachweise. Die Entscheidung fällt nicht allein wegen des Preises, sondern auch wegen der Antwortqualität. Das Büro lässt zusätzlich eine IT-Beraterin die Unterlagen von A durchsehen.

So hilft Ihnen Alpasana

Sicherheitsnachweise zu verstehen und die Auswahl zu strukturieren, ist Teil jeder sorgfältigen Einführung. Die KI-Beratung und digitale Transformation von Alpasana unterstützt bei der Analyse von Vorhaben, bei Governance- und Einsatzregeln für KI-Agenten sowie bei der Konzeption von Schnittstellen und der Dokumentation der Umsetzung.

So bereiten Sie Ihre Entscheidung nachvollziehbar vor. Projekte werden individuell offeriert.

Häufige Fragen

Muss ein Anbieter zertifiziert sein?

Nicht zwingend. Zertifikate sind ein Hinweis, aber kein Muss. Kleinere Anbieter können gut arbeiten, ohne zertifiziert zu sein, müssen dann aber ihre Massnahmen anders belegen.

Was bedeutet «Geltungsbereich» beim Zertifikat?

Er nennt, welche Teile des Unternehmens oder welche Dienste geprüft wurden. Ein Zertifikat für das Rechenzentrum sagt nichts über den Chatbot, wenn er nicht genannt ist.

Reicht ein Hinweis «DSG-konform»?

Nein. Das Gesetz kennt kein Gütesiegel. Siehe Was taugt das Versprechen «rechtssicherer Chatbot»?. Verlangen Sie konkrete Massnahmen und Verträge.

Wie oft sollte ich Nachweise neu verlangen?

Mindestens jährlich und bei grossen Änderungen, etwa neuen Unterauftragnehmern oder einem Modellwechsel. Tragen Sie den Termin in Ihre Vertragsverwaltung ein.