KI-Sicherheitsvorfall dokumentieren: Vorlage zum Ausfüllen

Das Problem

Es ist passiert: Eine Mitarbeiterin hat Kundendaten in ein ungeprüftes KI-Werkzeug eingegeben, der KI-Assistent hat eine Mail an die falsche Person verschickt, oder ein Zugangsschlüssel wurde veröffentlicht. Alle sind aufgeregt, jeder erzählt etwas anderes, und niemand schreibt es auf.

Einige Wochen später fragt ein Kunde nach, die Versicherung verlangt einen Bericht, oder Sie wollen wissen, wie Sie es künftig verhindern. Dann stützen Sie sich nur noch auf Erinnerungen, und die sind lückenhaft.

Ein Vorfallsprotokoll ist ein kurzes, sachliches Dokument, das während oder kurz nach dem Vorfall entsteht. Es hilft beim Handeln, beim Lernen und, wenn nötig, beim Nachweis, dass Sie sorgfältig reagiert haben.

So lösen Sie es mit KI – Schritt für Schritt

1. Legen Sie die Vorlage vorher bereit. Speichern Sie sie dort, wo alle sie finden: in der gemeinsamen Ablage und ausgedruckt in der Notfallmappe. Im Ernstfall hat niemand Zeit zum Suchen.

1. Bestimmen Sie eine Protokollführerin. Eine Person schreibt mit, eine andere kümmert sich um die Massnahmen. So geht nichts verloren.

1. Notieren Sie die Fakten zuerst. Wann wurde es bemerkt? Von wem? Was genau wurde beobachtet? Verwenden Sie Uhrzeiten und kurze Sätze. Keine Vermutungen als Tatsachen.

1. Halten Sie Betroffenes fest. Welche Systeme, Konten, Dateien, Personen? Welche Datenarten (Kundendaten, Mitarbeiterdaten, Geschäftsgeheimnisse)? Wie viele Personen in etwa?

1. Dokumentieren Sie die Sofortmassnahmen. Was wurde getan: Konto gesperrt, Schlüssel ersetzt, Anbieter informiert, Gerät getrennt? Mit Uhrzeit und Person.

1. Sichern Sie Belege. Screenshots, Protokolle, Mails. Ändern Sie nichts an den Originalen; siehe Bei einem KI-Vorfall Belege sichern.

1. Beurteilen Sie das Risiko. Welche Folgen sind möglich? Wer könnte betroffen sein? Ist eine Meldung nötig (Datenschutzstelle, Kundschaft, Versicherung)? Das klären Sie mit der Geschäftsleitung und gegebenenfalls einer Fachperson.

1. Legen Sie nächste Schritte fest. Was, wer, bis wann? Zum Beispiel: Kundschaft informieren, Passwörter ändern, Schulung, technische Änderung.

1. Schliessen Sie den Vorfall ab. Wenn alles erledigt ist, halten Sie Datum und Ergebnis fest und planen eine Nachbesprechung: KI-Vorfall: Nachbesprechung.

Kopfdaten der Vorlage:

Vorlage zum Kopieren

Das ist die eigentliche Vorlage. Kopieren Sie sie in ein Dokument und füllen Sie sie aus. Tragen Sie keine Passwörter oder Schlüssel ein.

KI-SICHERHEITSVORFALL: PROTOKOLL
Vorfall-Nr.: [V-JJJJ-NNN]       Titel: [kurze Beschreibung]
Protokoll geführt von: [Name]    Stand: [Datum, Uhrzeit]

1. WAS IST PASSIERT? (Fakten, kurze Sätze)
[Beschreibung]

2. ZEITVERLAUF
[Zeit] – [Ereignis / Beobachtung / Massnahme, wer]
[Zeit] – …

3. BETROFFEN
Systeme / Konten / Dienste: [Liste]
Datenarten: [Kundendaten / Mitarbeiterdaten / Geschäftsgeheimnisse / Zugangsdaten / unklar]
Betroffene Personen (ungefähr): [Zahl / unklar]

4. SOFORTMASSNAHMEN (mit Uhrzeit und Person)
[…]

5. BELEGE GESICHERT
[Art, Ort der Ablage, gesichert von, Zeit]

6. RISIKOEINSCHÄTZUNG
[gering / mittel / hoch] – Begründung: […]
Meldung nötig? [ja / nein / zu klären mit …]

7. INFORMIERT
[Wer, wann, wie: Geschäftsleitung, Kundschaft, Anbieter, Versicherung, Behörde]

8. NÄCHSTE SCHRITTE
[Aufgabe – zuständig – Frist]

9. ABSCHLUSS
Abgeschlossen am: […]   Nachbesprechung am: […]

Passen Sie die Abschnitte an Ihren Betrieb an; halten Sie die Vorlage bewusst kurz, damit sie auch unter Zeitdruck ausgefüllt wird.

Worauf Sie achten müssen

• Sachlich bleiben. Ein Protokoll zeigt Abläufe, nicht Schuldige. Wer Angst hat, bestraft zu werden, meldet Vorfälle zu spät.
• Meldepflichten sind Einzelfallfragen. Nach dem Schweizer Datenschutzgesetz (DSG) kann eine Verletzung der Datensicherheit eine Meldung an den EDÖB nötig machen, wenn voraussichtlich ein hohes Risiko für betroffene Personen besteht. Fristen und Voraussetzungen klären Sie rasch mit einer Fachperson oder Ihrer Datenschutzstelle.
• Personendaten im Protokoll vermeiden. Nennen Sie Betroffene mit Kennung statt Namen, wenn es genügt.
• Nicht nachträglich schönen. Spätere Korrekturen kennzeichnen Sie als solche; sonst verliert das Protokoll seinen Wert.
• Vertraulich ablegen. Vorfallsprotokolle enthalten Schwachstellen. Nur wenige Personen sollen Zugriff haben.
• Die KI als Schreibhilfe nur ohne Echtdaten. Wenn Sie ein Protokoll mit KI formulieren lassen, verwenden Sie anonymisierte Angaben.

Ein Beispiel aus der Praxis

Ein Beispiel: In einem Treuhandbüro in Frauenfeld hat eine Mitarbeiterin einen Kundenvertrag in ein privates KI-Konto kopiert. Der Chef bemerkt es um 15:10 Uhr beim Zusammenlesen eines Chatverlaufs.

Vorher: Gespräche auf dem Flur, widersprüchliche Angaben, keine Notizen. Nachher: Die Büroleiterin füllt die Vorlage aus: Entdeckung 15:10, Datei gelöscht 15:25, Anbieter um Löschung gebeten 15:40, Mandant informiert 17:00. Das Risiko wird als mittel eingestuft. Beim Gespräch mit einer Fachperson ist alles nachvollziehbar, und die Nachbesprechung führt zu einer klaren Regel für KI-Konten.

So hilft Ihnen Alpasana

Wenn Sie nach einem Vorfall Abläufe und Regeln für den KI-Einsatz neu aufstellen möchten, begleitet Sie die KI-Beratung und digitale Transformation. Laut Leistungsbeschreibung werden Prozesse aufgenommen, Vorhaben priorisiert und ein Umsetzungsplan erstellt; bei KI-Agenten gehören Einsatzregeln dazu.

Rechtliche Bewertungen von Meldepflichten ersetzt das nicht. Projekte werden individuell offeriert.

Häufige Fragen

Wann ist ein Vorfall «meldepflichtig»?

Das hängt vom Einzelfall ab, vor allem vom Risiko für betroffene Personen. Klären Sie das sofort mit einer Fachperson oder der Datenschutzstelle. Ein sorgfältiges Protokoll erleichtert die Beurteilung.

Muss ich für jeden Fehler ein Protokoll schreiben?

Nein. Für echte Sicherheitsvorfälle: Datenabfluss, Missbrauch, Kontoübernahme, falsche Weitergabe. Kleine Fehler genügen als kurze Notiz.

Wer unterschreibt das Protokoll?

Mindestens die Protokollführerin und die verantwortliche Person der Geschäftsleitung. Das macht es verbindlich und nachvollziehbar.

Wo finde ich ein Meldeformular für Mitarbeitende?

Siehe KI-Vorfall: Meldeformular. Es hilft, Vorfälle früh und einheitlich zu erfassen.