Wie prüfe ich die verschlüsselte Verbindung zur KI?

Das Problem

Ihr Betrieb hat eine KI-Anwendung: einen Chatbot auf der Website, ein Programm, das Dokumente zusammenfasst, oder eine Automatik, die Texte an einen KI-Dienst schickt. Die Daten wandern dabei übers Internet. Unterwegs können sie, wenn sie unverschlüsselt sind, mitgelesen oder verändert werden.

Verschlüsselung ist wie ein verschlossener Umschlag statt einer Postkarte. Gute Dienste verwenden sie von Haus aus. Aber bei selbst gebauten Lösungen, alten Programmen oder Testeinstellungen kann etwas schiefgehen: Eine Adresse beginnt mit «http://» statt «https://», eine Warnung wird weggeklickt, eine Sicherheitsprüfung wird «nur zum Testen» ausgeschaltet und nie wieder eingeschaltet.

Sie müssen nicht selbst programmieren können, um die wichtigsten Dinge zu prüfen oder Ihre IT-Betreuung gezielt zu fragen.

Einfach erklärt

HTTPS ist die verschlüsselte Form der normalen Webverbindung. Erkennbar am «https://» und meist einem Schloss-Symbol im Browser. TLS ist das Verfahren, das dahintersteckt: Es verschlüsselt die Daten und stellt sicher, dass Sie wirklich mit dem richtigen Server sprechen.

Dazu gehört ein Zertifikat, eine Art digitaler Ausweis des Servers. Der Browser oder das Programm prüft: Ist das Zertifikat gültig, nicht abgelaufen und für diese Adresse ausgestellt? Wenn nicht, erscheint eine Warnung.

Ihre Programme sprechen mit dem KI-Dienst über eine API (eine Schnittstelle für Programme). Auch diese Verbindung soll verschlüsselt sein. Bei seriösen Anbietern ist das Standard; die Frage ist, ob Ihr Programm es richtig nutzt.

So lösen Sie es mit KI – Schritt für Schritt

1. Notieren Sie, welche Verbindungen es gibt. Wohin sendet Ihre Anwendung Daten? KI-Dienst, Datenbank, E-Mail, Cloud-Ablage. Eine Vorlage: KI-Datenfluss-Vorlage.

1. Prüfen Sie die Adressen. Beginnen alle mit «https://»? Fragen Sie Ihre Entwicklerin oder den Dienstleister, ob irgendwo «http://» verwendet wird, auch intern.

1. Prüfen Sie die Website mit dem Chatbot. Öffnen Sie sie im Browser: Schloss-Symbol sichtbar, keine Warnmeldung, kein «Nicht sicher». Klicken Sie auf das Schloss, dort steht, für wen das Zertifikat ausgestellt ist und bis wann es gilt.

1. Fragen Sie nach der Zertifikatsprüfung. Die Frage an die Entwicklung: «Ist die Prüfung von Zertifikaten in allen Programmen aktiv? Wurde sie nie abgeschaltet, auch nicht in Testversionen?»

1. Achten Sie auf Ablaufdaten. Zertifikate laufen ab. Moderne Systeme erneuern automatisch; prüfen Sie, ob das bei Ihnen eingerichtet ist. Ein abgelaufenes Zertifikat führt zu Warnungen oder Ausfällen.

1. Prüfen Sie Schlüssel und Passwörter. Verschlüsselung hilft wenig, wenn Zugangsschlüssel in Klartext-Dateien liegen: KI-Schlüssel sicher speichern.

1. Lassen Sie die Verbindung testen. Ihre IT-Betreuung kann mit gängigen Prüfwerkzeugen die Verschlüsselung der Website testen. Fragen Sie nach einem kurzen Prüfbericht.

1. Dokumentieren und wiederholen. Halten Sie Datum und Ergebnis fest; prüfen Sie nach grösseren Änderungen erneut.

Prüfpunkte für Laien:

Vorlage zum Kopieren

Mit diesem Prompt bereiten Sie das Gespräch mit Ihrer IT-Betreuung vor. Geben Sie keine Schlüssel oder Zugangsdaten ein.

Ich bin keine Technikerin. Unsere Firma hat [KI-Anwendung, z. B. Chatbot auf der Website, Dokumentenzusammenfassung] und nutzt den Dienst [Name]. 
Erstelle auf Deutsch (Schweiz) eine Checkliste mit zehn Fragen an unseren IT-Dienstleister zur Verschlüsselung der Datenübertragung (HTTPS, TLS, Zertifikate, Ablaufdaten, abgeschaltete Prüfungen, interne Verbindungen).
Formuliere jede Frage in einfacher Sprache, mit einem Satz, was eine gute Antwort wäre.
Füge hinzu: drei Warnzeichen, bei denen ich nachhaken soll. Nenne keine konkreten Produkte oder Versionen, die du nicht sicher kennst.

Nehmen Sie die Antworten des Dienstleisters schriftlich zu den Akten.

Worauf Sie achten müssen

• Verschlüsselung ist nur ein Teil. Sie schützt die Übertragung, nicht den Inhalt beim Empfänger. Was der KI-Anbieter mit den Daten macht, ist eine andere Frage; siehe KI-Serverstandort und Datenschutz.
• Warnungen nie wegklicken. Weder im Browser noch in Programmen. Hinter einer Zertifikatswarnung kann ein Angriff stecken.
• Abgeschaltete Prüfungen sind ein Alarmzeichen. Entwickler schalten sie manchmal für Tests ab und vergessen es. Fragen Sie ausdrücklich danach.
• Öffentliche WLANs. Auch mit HTTPS sind Vorsicht und ein zusätzlicher Schutz, etwa ein VPN, sinnvoll, wenn Sie vertrauliche Daten bearbeiten.
• Datenschutzrecht. Das Datenschutzgesetz (DSG) verlangt angemessene, risikogerechte Sicherheit zum Schutz von Personendaten. Verschlüsselung kann eine geeignete Massnahme sein. Was im Einzelfall genügt, klärt eine Fachperson.
• Ihre Prüfung ist keine Zertifizierung. Sie ersetzt keine Sicherheitsprüfung durch Fachleute, wenn sensible Daten im Spiel sind.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Online-Händler für Gartengeräte im Kanton Luzern hat einen Chatbot für Kundenfragen. Beim Prüfen im Browser sieht die Geschäftsführerin auf einer Unterseite die Meldung «Nicht sicher». Der Entwickler hatte vor Monaten eine Testadresse ohne Verschlüsselung eingebunden.

Vorher: Teile der Kommunikation liefen unverschlüsselt. Nachher: Der Dienstleister stellt auf «https://» um, aktiviert die automatische Zertifikatserneuerung und bestätigt schriftlich, dass die Zertifikatsprüfung in allen Programmen aktiv ist. Die Geschäftsführerin legt das Protokoll ab und plant eine Kontrolle nach dem nächsten Umbau.

So hilft Ihnen Alpasana

Wer selbst KI-Anwendungen baut oder betreut, findet in absofort den Kurs KI für Developer mit Claude und Codex. Laut Beschreibung gehören Datenschutzgrenzen, Review-Regeln und Tests zum Entwickler-Playbook; Claude, Claude Code und die Claude API sind Kursgegenstände.

Der Kurs vermittelt Arbeitsweisen und prüft keine Produktivsysteme. Für Ihre konkrete Umgebung braucht es Ihre IT-Betreuung.

Häufige Fragen

Reicht das Schloss-Symbol im Browser?

Es zeigt, dass die Verbindung zur Website verschlüsselt ist. Es sagt aber nichts über die Sicherheit Ihrer Programme im Hintergrund oder über den Umgang des Anbieters mit Ihren Daten.

Was bedeutet «Zertifikat abgelaufen»?

Der digitale Ausweis des Servers ist nicht mehr gültig. Nutzen Sie die Seite nicht für vertrauliche Eingaben und melden Sie es der Betreiberin. Bei Ihrer eigenen Seite sorgt Ihre IT-Betreuung für Erneuerung.

Sind KI-Dienste grosser Anbieter automatisch verschlüsselt?

Normalerweise ja. Entscheidend ist, dass Ihr Programm die richtige, verschlüsselte Adresse verwendet und die Prüfung nicht abschaltet.

Muss ich selbst prüfen oder reicht die Zusage des Dienstleisters?

Lassen Sie sich die Zusage schriftlich geben und kontrollieren Sie die einfachen Punkte stichprobenartig selbst. Vertrauen ist gut, ein kurzer Blick besser.