Ungewöhnliche KI-Nutzung erkennen und untersuchen

Das Problem

Normalerweise kostet Ihre KI-Nutzung im Monat etwa gleich viel. Dann kommt die Rechnung, und der Betrag ist dreimal so hoch. Oder die Auswertung des Anbieters zeigt, dass Samstagnacht um drei Uhr tausende Anfragen eingingen, obwohl niemand im Büro war.

Das kann harmlos sein: Ein Skript hat sich in einer Endlosschleife verfangen, oder jemand hat einen grossen Auftrag gestartet. Es kann aber auch Missbrauch sein: Ein gestohlener Zugangsschlüssel wird von Fremden genutzt, ein Konto wurde übernommen, oder eine Funktion auf Ihrer Website wird von automatischen Programmen ausgenutzt.

Wer solche Spitzen früh bemerkt, begrenzt den Schaden. Wer erst bei der Rechnung hinschaut, zahlt womöglich viel oder verliert Daten. Mit einfachen Mitteln lässt sich das Hinschauen organisieren.

So lösen Sie es mit KI – Schritt für Schritt

1. Kennen Sie Ihre Normalwerte. Schauen Sie sich die letzten zwei bis drei Monate an: Kosten pro Woche, Anzahl Anfragen, typische Uhrzeiten, aktive Konten. Das ist Ihr «normales Bild».

1. Finden Sie die Auswertungen. Fast jeder KI-Anbieter zeigt Verbrauch und Kosten in einem Bereich der Verwaltung («Nutzung», «Abrechnung», «Usage»). Notieren Sie, wo das bei Ihren Diensten ist.

1. Setzen Sie Warnschwellen. Viele Anbieter erlauben Benachrichtigungen bei Erreichen eines Betrags oder festen Limits. Legen Sie Schwellen deutlich über dem Normalwert fest; siehe KI-Kostenlimit einrichten.

1. Bestimmen Sie, wer benachrichtigt wird. Mindestens zwei Personen, auch eine Stellvertretung. Eine Warnung, die im Postfach der Ferienabwesenden liegt, nützt nichts.

1. Prüfen Sie regelmässig. Ein fester Termin, zum Beispiel jede Woche zehn Minuten oder bei kleinen Betrieben monatlich. Achten Sie auf Spitzen, neue Konten, ungewöhnliche Uhrzeiten, Anfragen aus unerwarteten Ländern, falls angezeigt.

1. Untersuchen Sie Auffälligkeiten. Fragen: Wer oder was verursacht es? Gibt es eine einfache Erklärung (grosser Auftrag, neue Funktion)? Passt es zu den Aufträgen des Teams? Gibt es unbekannte Schlüssel oder Konten?

1. Reagieren Sie bei Verdacht sofort. Verdächtigen Schlüssel sperren und ersetzen, Konten sperren, Passwörter ändern, Anbieter informieren. Siehe KI-Schlüssel veröffentlicht: Was tun?.

1. Dokumentieren Sie. Was war auffällig, was war die Ursache, was wurde getan? Eine Vorlage: KI-Sicherheitsvorfall dokumentieren.

1. Begrenzen Sie künftig. Je ein Schlüssel pro Anwendung, Mengenbegrenzungen, Rate-Limits (Obergrenzen für Anfragen pro Minute); siehe KI-Anfragen begrenzen.

Warnzeichen und mögliche Ursachen:

Vorlage zum Kopieren

Dieser Prompt hilft bei einer Prüfroutine. Fügen Sie nur Beschreibungen ein, keine echten Kontodaten.

Erstelle auf Deutsch (Schweiz) eine einfache Prüfroutine für die Überwachung unserer KI-Nutzung.
Betrieb: [Art, Grösse]. Genutzte KI-Dienste: [Liste]. Normale Nutzung: etwa [Angabe, z. B. Kosten pro Monat im Bereich, Hauptzeiten Mo–Fr 8–18 Uhr].
Liefere: 1. eine wöchentliche Checkliste mit acht Punkten (z. B. Kostenverlauf, Zeitprofil, neue Konten, Fehlerquote, Warnmeldungen),
2. eine Tabelle «Auffälligkeit, harmlose Erklärung, mögliche Gefahr, erster Schritt»,
3. einen Ablauf in sieben Schritten, wenn ich Missbrauch vermute,
4. eine Vorlage für eine kurze Meldung an die Geschäftsleitung.
Nenne keine konkreten Menüpfade oder Preise, die du nicht sicher kennst.

Ersetzen Sie die Normalwerte durch Ihre eigenen und prüfen Sie die Hinweise in der Hilfe Ihrer Anbieter.

Worauf Sie achten müssen

• Schnelles Handeln zählt. Gestohlene Schlüssel werden oft innert Stunden genutzt. Verzögern Sie Sperren nicht aus Angst vor Unterbrüchen.
• Falschalarme gehören dazu. Nicht jede Spitze ist Missbrauch. Bleiben Sie ruhig und prüfen Sie zuerst.
• Überwachung von Menschen ist heikel. Ihre Auswertung gilt der Systemnutzung, nicht der Leistungskontrolle einzelner Personen. Informieren Sie das Team offen; siehe KI-Mitarbeiterüberwachung.
• Nicht jeder Anbieter zeigt alles. Manche liefern nur grobe Zahlen. Fragen Sie nach, welche Auswertungen es gibt.
• Datenabfluss ist nicht immer sichtbar. Ein Kostenanstieg zeigt Nutzung, nicht welche Daten abgeflossen sind. Bei Verdacht prüfen Sie Zugriffe und Protokolle.
• Meldepflichten klären. Nach dem Datenschutzgesetz (DSG) muss die verantwortliche Stelle eine Verletzung der Datensicherheit dem EDÖB melden, wenn sie voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte betroffener Personen führt. Prüfen Sie den konkreten Vorfall umgehend fachlich; eine auffällige Nutzung allein begründet noch keine Meldung.

Ein Beispiel aus der Praxis

Ein Beispiel: Eine Bäckerei-Kette mit fünf Filialen in der Region Bern nutzt einen KI-Dienst für Rezepttexte und Aktionsplakate, normalerweise für wenige Franken pro Woche. An einem Montag meldet der Anbieter per Mail, die Nutzung habe das Warnlimit überschritten.

Vorher: Niemand schaute je auf die Nutzung. Nachher: Die Geschäftsführerin sieht, dass über das Wochenende tausende Anfragen eingingen, mitten in der Nacht. Sie sperrt den Schlüssel, ersetzt ihn und findet heraus, dass er in einem Online-Formular einer Agentur öffentlich eingebettet war. Der Schaden bleibt klein, weil das Limit anschlug. Sie legt künftig pro Anwendung einen eigenen Schlüssel an.

So hilft Ihnen Alpasana

Wenn Sie KI-Nutzung im Betrieb ordnen und überwachbar machen möchten, begleitet Sie die KI-Beratung und digitale Transformation. Laut Leistungsbeschreibung werden KI-Potenziale analysiert, Vorhaben priorisiert, ein Umsetzungsplan erstellt und die Umsetzung dokumentiert.

Die laufende technische Überwachung übernimmt Ihre IT-Betreuung. Das Angebot wird individuell offeriert.

Häufige Fragen

Wie hoch sollte ich die Warnschwelle setzen?

Etwas über Ihrem normalen Höchstwert, sodass echte Spitzen auffallen, normale Schwankungen aber nicht ständig alarmieren. Passen Sie sie nach den ersten Monaten an.

Was tun, wenn ich eine Spitze nicht erklären kann?

Sperren Sie vorsorglich verdächtige Schlüssel, ersetzen Sie sie und prüfen Sie dann in Ruhe. Es ist besser, einmal zu viel vorsichtig zu sein.

Kann ich Spitzen auch automatisch erkennen lassen?

Teilweise über Benachrichtigungen des Anbieters oder Überwachungswerkzeuge. Für kleine Betriebe genügt oft ein fester wöchentlicher Blick auf die Zahlen.

Wen informiere ich bei Verdacht auf Missbrauch?

Zuerst die Verantwortliche im Betrieb, dann den Anbieter. Bei Datenabfluss oder Betrug können Sie zusätzlich das Nationale Zentrum für Cybersicherheit (NCSC) oder die Polizei einbeziehen.