Bei einem KI-Vorfall Protokolle und Belege sichern

Das Problem

Ein Vorfall ist passiert: Die KI hat vertrauliche Inhalte ausgegeben, ein Konto wurde missbraucht, oder ein Assistent hat unerwünschte Aktionen ausgelöst. Sie wollen verstehen, was geschehen ist, und vielleicht später belegen können, was Sie getan haben.

Doch Chatverläufe werden automatisch gelöscht, Protokolle überschrieben, Dateien durch neue Fassungen ersetzt. Wer zuerst aufräumt und dann untersucht, hat nichts mehr in der Hand. Auch gut gemeinte Korrekturen verändern oft genau das, was man später braucht.

Deshalb gilt bei Vorfällen: Erst sichern, dann bereinigen. Beweissicherung heisst nicht, Juristin zu spielen, sondern: Kopien machen, Zeit festhalten, Originale in Ruhe lassen.

So lösen Sie es mit KI – Schritt für Schritt

1. Atmen Sie durch und setzen Sie Prioritäten. Zuerst Schaden begrenzen (Konto sperren, Schlüssel ersetzen), dann sichern. Beides passiert zeitnah, aber ruhig.

1. Stoppen Sie automatisches Löschen. Wenn Ihre Systeme Chats oder Protokolle nach einer Frist automatisch löschen, schalten Sie das für die betroffenen Daten vorübergehend aus. Fragen Sie Ihre IT-Betreuung.

1. Lassen Sie die Originale unverändert. Nicht umbenennen, nicht verschieben, nicht bearbeiten, nicht «aufräumen». Arbeiten Sie nur mit Kopien.

1. Sichern Sie Chatverläufe. Exportieren Sie den Verlauf, wenn der Dienst es anbietet, und machen Sie zusätzlich Bildschirmfotos mit sichtbarem Datum und Uhrzeit. Ein Export hat Vorrang, weil er vollständig ist.

1. Sichern Sie Protokolle. Lassen Sie relevante Protokolle der Systeme für den betroffenen Zeitraum exportieren, mit etwas Spielraum davor und danach. Notieren Sie Quelle, Zeitraum und wer exportiert hat.

1. Sichern Sie betroffene Dateien. Kopieren Sie Dateien, E-Mails und Dokumente in einen geschützten Ordner, getrennt vom Alltagsbetrieb. Behalten Sie Dateidatum und Namen bei.

1. Halten Sie Zeit und Fundort fest. Zu jedem Beleg: Was ist es? Woher stammt es? Wann wurde es gesichert, von wem? Eine einfache Tabelle genügt.

1. Schützen Sie die Kopien. Zugriff nur für wenige Personen, nach Möglichkeit schreibgeschützt oder verschlüsselt. Wer Zugriff hat, wird notiert.

1. Prüfen Sie, ob Dritte sichern müssen. Hat der KI-Anbieter oder Dienstleister Protokolle? Bitten Sie ihn schriftlich, relevante Daten aufzubewahren, und notieren Sie die Antwort; siehe KI-Anbieter: Sicherheitsvorfall.

1. Verbinden Sie es mit dem Vorfallsprotokoll. Tragen Sie die gesicherten Belege dort ein: KI-Sicherheitsvorfall dokumentieren.

Beleg-Tabelle zum Ausfüllen:

Vorlage zum Kopieren

Dieser Prompt erstellt eine Beleg-Liste und eine Anfrage an den Dienstleister. Verwenden Sie keine echten Inhalte.

Erstelle auf Deutsch (Schweiz) eine Checkliste «Belege sichern» für einen KI-Vorfall in unserem Betrieb.
Vorfallsart: [z. B. vertrauliche Daten in KI-Chat eingegeben / Konto missbraucht / KI-Assistent hat Mails versendet]. Betroffene Systeme: [Liste].
Liefere: 1. eine Liste, was zu sichern ist (Chatverlauf, Protokolle, Dateien, E-Mails, Einstellungen, Rechnungen des Anbieters),
2. eine Tabelle für das Beleg-Verzeichnis (Nr., Beleg, Quelle, Zeitpunkt, gesichert von, Ablageort),
3. eine kurze, höfliche E-Mail an den Anbieter [Name], die bittet, Protokolle und Daten für den Zeitraum [Zeitraum] aufzubewahren und uns Auskunft zu geben,
4. fünf Dinge, die wir nicht tun sollten (z. B. Originale ändern, Chats löschen).
Gib keine rechtliche Beratung; weise auf Fachleute hin.

Passen Sie den Zeitraum und die Systeme an; senden Sie die E-Mail erst nach interner Absprache.

Worauf Sie achten müssen

• Daten sichern kann selbst heikel sein. Kopien enthalten oft Personendaten. Nach dem Datenschutzgesetz (DSG) gilt weiterhin: nur das Nötige, geschützt, zeitlich begrenzt. Legen Sie fest, wann die Kopien gelöscht werden.
• Nicht in privaten Konten sichern. Keine Belege per privater E-Mail oder auf privaten Handys.
• Gefälschte Beweise vermeiden. Bearbeitete Screenshots oder nachträglich geänderte Dateien schaden Ihnen. Machen Sie ehrliche, vollständige Kopien.
• Der Anbieter kann Löschfristen haben. Kontaktieren Sie ihn früh; Daten können sonst automatisch gelöscht werden. Ob er sie aufbewahrt, ist nicht garantiert.
• Recht und Polizei. Bei strafbaren Handlungen, etwa Betrug oder Erpressung, kann eine Anzeige sinnvoll sein. Die Polizei sagt, welche Belege sie braucht; siehe Betrug melden in der Schweiz.
• Keine technische Forensik ohne Fachleute. Tiefergehende Untersuchungen (Festplatten, Server) gehören in Expertenhände. Verändern Sie dort nichts selbst.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Handwerksbetrieb in Schaffhausen stellt fest, dass über das Firmenkonto eines KI-Dienstes nachts Anfragen laufen, die niemand verantwortet. Der Inhaber will das Konto sofort löschen.

Vorher: Löschen hätte alle Spuren verwischt. Nachher: Er sperrt zunächst nur den Zugang, lässt den Verlauf und die Nutzungsübersicht exportieren, notiert Zeit und Person und bittet den Anbieter schriftlich um Aufbewahrung der Protokolle. Erst danach werden Passwörter geändert und das Konto bereinigt. Die gesicherten Belege zeigen später, dass ein gestohlener Schlüssel die Ursache war.

So hilft Ihnen Alpasana

Wenn Ihr Betrieb Abläufe für den Ernstfall aufbauen möchte, unterstützt Sie die KI-Beratung und digitale Transformation. Laut Leistungsbeschreibung nimmt Alpasana Prozesse auf, priorisiert Vorhaben, erstellt einen Umsetzungsplan und dokumentiert die Umsetzung.

Eine forensische Untersuchung oder Rechtsberatung gehört nicht zum belegten Angebot; dafür brauchen Sie spezialisierte Fachleute.

Häufige Fragen

Reicht ein Screenshot als Beleg?

Er ist besser als nichts, aber ein Export oder eine Originaldatei ist aussagekräftiger. Machen Sie beides, wenn möglich, mit sichtbarem Datum und Uhrzeit.

Wie lange soll ich die Belege aufbewahren?

Bis der Vorfall abgeschlossen ist und mögliche Rückfragen geklärt sind. Danach löschen Sie sie, sofern keine Pflicht oder kein Verfahren dagegen spricht. Klären Sie das mit einer Fachperson.

Darf ich Mitarbeitende nach Chatverläufen fragen?

Ja, sachlich und ohne Vorwürfe. Informieren Sie, wofür die Daten gebraucht werden. Bei privaten Konten sind die Mitarbeitenden nicht verpflichtet, alles herauszugeben; suchen Sie eine einvernehmliche Lösung.

Was, wenn der Anbieter nicht antwortet?

Dokumentieren Sie die Anfrage und wiederholen Sie sie schriftlich. Sichern Sie in der Zwischenzeit alles, was Sie selbst erreichen können.