Berechtigungen in KI-Wissenssystemen erklärt: wer welche Antwort sehen darf

01

Warum brauchen KI-Wissenssysteme ein eigenes Berechtigungskonzept?

Ein KI-Wissenssystem kopiert Inhalte aus vielen Quellsystemen in einen gemeinsamen Index und formuliert daraus neue Texte. Die Rechte der Quellsysteme gehen dabei verloren, wenn sie nicht ausdrücklich mitgenommen werden. Zudem kann eine Antwort Inhalte offenlegen, ohne das Dokument zu zeigen: als Zusammenfassung, Zitat, Fundstellenliste, zwischengespeicherte Antwort oder Protokolleintrag.

Eine Retrieval-Augmented Generation liest Inhalte aus Ablage, Wiki und Dokumentenmanagement, zerlegt sie und legt sie in einer Vektordatenbank ab. Ab dann entscheidet nicht mehr das Quellsystem, wer sie sehen darf, sondern das Wissenssystem. Und ein Sprachmodell formuliert um: Eine Frage nach betroffenen Standorten kann eine vertrauliche Planung offenlegen, ohne dass jemand ein Dokument öffnet.

Die OWASP Top 10 für LLM-Anwendungen (Ausgabe 2025) führen diese Klasse als LLM08, Schwächen von Vektoren und Embeddings, und empfehlen rechtebewusste Vektorspeicher mit strikter logischer Trennung. Den Platz von Berechtigungen im Gesamtbild zeigt Wissensmanagement mit KI.

02

Wie trägt man die Rechte eines Dokuments durch die RAG-Pipeline?

Die Rechte werden beim Einlesen zusammen mit dem Inhalt aus dem Quellsystem gelesen, auf einheitliche Kennungen für Personen und Gruppen abgebildet und an jeden Abschnitt geschrieben, der aus dem Dokument entsteht. Ändern sich Rechte ohne Änderung des Inhalts, wird der Index trotzdem nachgezogen. Gelöschte Dokumente verschwinden aus allen Kopien, auch aus Zwischenspeichern.

Kritisch ist die Abbildung: Vererbte Ordnerfreigaben, Freigabelinks und lokale Gruppen werden zu Kennungen aus dem zentralen Verzeichnis. Was sich nicht eindeutig abbilden lässt, wird nicht großzügig ausgelegt und bleibt außen vor.

{
  "abschnitt_id": "dok-4711#3",
  "lesen": ["gruppe:einkauf", "person:u-2081"],
  "datenklasse": "vertraulich",
  "rechte_stand": "2026-09-10T06:00:00Z",
  "inhalt_stand": "2026-08-28T14:12:00Z"
}

Zwei Zeitstempel, weil Rechte sich öfter ändern als Inhalte: Ein Einlesen, das nur auf Textänderungen reagiert, übersieht einen Gruppenwechsel. Ein gelöschtes Dokument muss aus Index, Embeddings, Zwischenspeichern und vorberechneten Zusammenfassungen verschwinden.

KI-GENERIERTKI-GENERIERT

03

Warum filtert man zum Abfragezeitpunkt statt die Treffer nachträglich?

Beim Filtern zum Abfragezeitpunkt beschränkt die Suche den Kandidatenkreis auf erlaubte Abschnitte, bevor sie ordnet. Nachträgliches Aussortieren hat zwei Schwächen: Die Trefferliste schrumpft unkontrolliert, weil die besten Kandidaten oft nicht erlaubt sind, und verbotene Inhalte durchlaufen Zwischenschritte wie Reranking, Protokolle oder Zwischenspeicher, in denen sie sichtbar werden können.

Die Dokumentation der PostgreSQL-Erweiterung pgvector beschreibt das Mengenproblem: Bei Näherungsindizes greift ein Filter erst nach dem Indexscan. Trifft eine Bedingung auf 10 Prozent der Zeilen zu, bleiben bei HNSW mit der Standardeinstellung von 40 Kandidaten im Schnitt 4 Treffer (pgvector-Dokumentation, 2026); iterative Indexscans suchen bei Bedarf weiter. Qdrant empfiehlt eigene Indizes für Filterfelder, am besten vor dem Einlesen.

Schwerer wiegt die Offenlegung: Beim nachträglichen Aussortieren hat das Reranking den Inhalt schon gelesen, und Protokolle halten ihn womöglich fest. Bei hybrider Suche gilt der Filter für Stichwort- und Vektorweg zugleich.

04

Wie wird die Identität der fragenden Person an das Wissenssystem angebunden?

Die Identität kommt aus dem zentralen Verzeichnis des Unternehmens, meist über Single Sign-on mit Standards wie OpenID Connect. Das Wissenssystem ermittelt Gruppen und Merkmale der Person serverseitig, nie aus Angaben des Browsers, und fragt den Index mit genau diesen Rechten ab. Ein technisches Konto mit Vollzugriff, das für alle sucht, hebelt jede Berechtigung aus.

Single Sign-on ist hier Voraussetzung. OpenID Connect Core 1.0 (OpenID Foundation) beschreibt eine Identitätsschicht auf OAuth 2.0, die der Anwendung ein signiertes ID-Token liefert. Das BSI empfiehlt in ORP.4.A18 einen zentralen netzbasierten Authentisierungsdienst. Das Wissenssystem verwaltet also keine eigenen Konten.

• Gruppen serverseitig auflösen: nie aus Parametern des Browsers übernehmen.
• Mit den Rechten der Person suchen: Ein Dienstkonto mit Vollzugriff ist ein typisches Muster für stille Datenlecks.
• Konten automatisch abgleichen: SCIM (RFC 7644, IETF 2015) standardisiert Anlegen, Ändern und Entfernen von Nutzern und Gruppen über Systemgrenzen.
• Token kurz halten: Ein lange gültiges Token trägt die Gruppen von gestern.

05

Welche Rechtemodelle eignen sich für KI-Wissenssysteme: Rollen, Attribute oder Beziehungen?

Rollenbasierte Rechte sind einfach, werden aber grob, wenn Dokumente einzeln freigegeben sind. Attributbasierte Rechte entscheiden nach Merkmalen wie Abteilung, Standort oder Datenklasse. Beziehungsbasierte Rechte leiten Zugriff aus Beziehungen ab, etwa Mitglied eines Projekts. Für Wissenssysteme ist meist die Übernahme der Dokumentrechte aus dem Quellsystem der Kern, ergänzt um Attribute.

NIST SP 800-162 (2014, aktualisiert 2019) beschreibt ABAC als Entscheidung durch Prüfung von Merkmalen von Subjekt, Objekt und Operation gegen Regeln; Googles Zanzibar-Paper beschreibt ein zentrales beziehungsbasiertes Autorisierungssystem. In der Praxis mischen sich die Modelle. Gehört eine Person Hunderten von Gruppen an, wächst der Filter jeder Suchanfrage mit; dann lohnt eine eigene Autorisierungskomponente.

06

Welche Datenklassen braucht ein KI-Wissenssystem, und was folgt aus ihnen?

Datenklassen ordnen Dokumente nach Schutzbedarf, etwa öffentlich, intern, vertraulich und streng vertraulich. Für ein KI-Wissenssystem entscheiden sie nicht nur, wer lesen darf, sondern auch, ob ein Dokument überhaupt in den Index gelangt, welches Modell es verarbeiten darf, ob Antworten zwischengespeichert und wie ausführlich Anfragen protokolliert werden.

Der BSI-Standard 200-2 (2017) unterscheidet die Schutzbedarfskategorien normal (Schadensauswirkungen begrenzt und überschaubar), hoch (können beträchtlich sein) und sehr hoch (können existenziell bedrohlich sein). Entscheidend ist, dass jede Klasse eine technische Folge hat.

Die wirksamste Kontrolle ist das Nichtaufnehmen: Was nicht im Index liegt, kann keine Antwort offenlegen. Datenminimierung heißt hier, nicht benötigte Personenangaben vor der Aufnahme zu entfernen. Für Klassen mit hohem Schutzbedarf erklärt Lokale Sprachmodelle den Betrieb auf eigener Hardware.

07

Wie protokolliert man ein KI-Wissenssystem, ohne personenbezogene Inhalte zu speichern?

Man protokolliert, was zur Nachvollziehbarkeit nötig ist, ohne Inhalte zu speichern: Zeitpunkt, pseudonymisierte Kennung, angewandte Rechte, Kennungen der abgerufenen und zitierten Abschnitte, Modellfassung und Prüfergebnisse. Frage- und Antworttexte werden standardmäßig nicht dauerhaft gespeichert. Wo sie zur Fehlersuche nötig sind, gelten kurze Aufbewahrung, eigene Zugriffsrechte und eine dokumentierte Freigabe.

Ohne Protokolle lässt sich nicht klären, warum eine Antwort falsch war (Observability); mit vollständigen Inhalten werden sie zur größten Sammlung vertraulicher Fragen im Haus. Der Ausweg sind Bezüge statt Inhalte. Die OpenTelemetry-Konventionen für generative KI stufen Nachrichteninhalte als Opt-in ein und warnen vor sensiblen Daten (Stand der Spezifikation: September 2026). Der BSI-Baustein OPS.1.1.5 verlangt Löschen nach festgelegtem Prozess (A5) und Schutz vor Veränderung durch Administrierende (A10).

Welche datenschutzrechtlichen Anforderungen an Protokolle gelten, gehört in die Prüfung mit Ihrer Datenschutzstelle; eine Einordnung bietet DSGVO-konforme KI. Stichproben zur Qualität beschreibt KI-Antworten prüfen.

08

Was ändert sich an Berechtigungen, wenn ein KI-Agent Werkzeuge nutzt?

Ein Agent handelt im Auftrag einer Person und darf deshalb nie mehr sehen oder tun als diese Person. Jedes Werkzeug ruft Daten mit den delegierten Rechten der Person ab, nicht mit einem Dienstkonto mit Vollzugriff. Schreibende Aktionen brauchen eine Bestätigung. Ergebnisse von Werkzeugen tragen ihre Rechte mit, wenn sie in späteren Schritten weiterverwendet werden.

Ein KI-Agent ruft Werkzeuge auf, oft über das Model Context Protocol, und jede Anbindung trägt eigene Zugangsdaten (Agentische Harnesses erweitern). Auch Zwischenergebnisse tragen Rechte: Fasst der Agent ein vertrauliches Dokument für eine E-Mail zusammen, gilt für die Zusammenfassung das Recht des Dokuments. Schleife und Freigabepunkte erklärt KI-Agenten in der Wissensarbeit; eingeschleuste Anweisungen (Prompt Injection) behandelt KI-Sicherheit.

09

Welche BSI-Bausteine helfen als Referenz für Berechtigungen und Protokollierung?

Das IT-Grundschutz-Kompendium des BSI bietet mit den Bausteinen ORP.4 Identitäts- und Berechtigungsmanagement und OPS.1.1.5 Protokollierung eine etablierte Referenz, ergänzt um CON.1 Kryptokonzept, CON.6 Löschen und Vernichten und OPS.2.2 Cloud-Nutzung. Die Bausteine nennen keine KI-Besonderheiten, ihre Grundsätze wie geringste Rechte und geschützte Protokolle lassen sich aber direkt übertragen.

• ORP.4 Identitäts- und Berechtigungsmanagement

  Edition 2023

  Rechte nur nach Bedarf (A2), festgelegte Vergabe und Entzug (A7), Standard-Rechteprofile (A16), zentraler Authentisierungsdienst (A18).

• OPS.1.1.5 Protokollierung

  Edition 2023

  Umfang am Schutzbedarf (A1), Löschen nach festgelegtem Prozess (A5), Schutz vor Veränderung durch Administrierende (A10).

• CON.1 Kryptokonzept

  Edition 2023

  Index, Embeddings und Sicherungen sind Kopien der Quellen und gehören ins selbe Verschlüsselungskonzept.

• CON.6 Löschen und Vernichten

  Edition 2023

  Gelöschte Dokumente hinterlassen Abschnitte, Vektoren und zwischengespeicherte Antworten.

• OPS.2.2 Cloud-Nutzung

  Edition 2023

  Referenz, sobald Index, Modell oder Überwachung bei einem Cloud-Anbieter laufen.

Das BSI hat mit Grundschutz++ einen Nachfolger angekündigt, der das Kompendium als maschinenlesbares Regelwerk ablöst; die Grundsätze bleiben davon unabhängig nützlich. Risiken generativer Modelle über den Lebenszyklus beschreibt die BSI-Veröffentlichung Generative KI-Modelle: Chancen und Risiken für Industrie und Behörden (2025). Zur Anbindung an bestehende Systeme: API, MCP oder CLI.

10

Wie testet man, ob ein KI-Wissenssystem Berechtigungen einhält?

Man testet mit Testkonten verschiedener Rollen und mit Markerdokumenten: Dokumenten mit einem eindeutigen, erfundenen Begriff, die nur eine Gruppe lesen darf. Taucht der Begriff für ein anderes Konto in Antwort, Fundstellen, Vorschlägen oder Zwischenspeicher auf, ist die Filterung undicht. Dazu kommen Tests für entzogene Rechte, gelöschte Dokumente und Protokolle.

1. Testkonten je Rolle

   Im zentralen Verzeichnis angelegt, dazu ein Konto ohne besondere Rechte.

2. Markerdokumente

   Ein erfundener, sonst nirgends vorkommender Begriff, freigegeben für nur eine Gruppe.

3. Aus allen Konten fragen

   Direkt, umschreibend und mit Bitte um Zusammenfassung ganzer Bereiche; Vorschläge und Fundstellen mitprüfen.

4. Rechte entziehen und löschen

   Messen, wann der Begriff verschwindet, auch aus Zwischenspeicher und Zusammenfassungen.

5. Protokolle prüfen und festschreiben

   Der Begriff darf dort nicht im Klartext stehen; alle Prüfungen laufen bei jeder Änderung automatisch mit.

11

Welche Irrtümer über Berechtigungen in KI-Systemen halten sich hartnäckig?

Hartnäckig sind fünf Annahmen: dass eine Anweisung an das Sprachmodell vertrauliche Inhalte schützt, dass Embeddings keine Inhalte verraten, dass nachträgliches Filtern genügt, dass getrennte Indizes je Abteilung das Problem lösen und dass lokaler Betrieb Berechtigungen überflüssig macht. Jede verlagert die Kontrolle an eine Stelle, die sie nicht leisten kann.

Wann sich On-Premise aus anderen Gründen lohnt, zeigt On-Premise vs. Cloud-LLM.