Risikobewertung von KI-Anbietern: Fragebogen, Bewertungsmodell und Nachweis-Checkliste (2026)
Eine Risikobewertung von KI-Anbietern führen Sie durch, bevor ein KI-Produkt oder eine API eines Drittanbieters auf Ihre Daten zugreift: Sie stufen das Risiko des Anwendungsfalls ein, stellen KI-spezifische Fragen (Training mit Ihren Daten, Aufbewahrung, Unterauftragsverarbeiter und Modellanbieter, Sicherheitstests, Ausgaberisiken, Regulierung), sammeln Nachweise zu jeder Antwort, bewerten den Anbieter und legen Vertragsbedingungen sowie die laufende Überwachung fest. Der Unterschied zur üblichen Anbieterprüfung liegt darin, dass bei KI-Anbietern das Modellverhalten, die Wiederverwendung von Daten und eine Kette nachgelagerter Modellanbieter hinzukommen. Dieser Leitfaden bietet einen direkt einsetzbaren Fragebogen, ein Bewertungsmodell und eine Nachweis-Checkliste mit Stand vom 26. Oktober 2026.
Er richtet sich an Sicherheits-, Einkaufs- und Plattformteams, die KI-APIs, KI-Gateways und SaaS-Tools mit KI-Funktionen freigeben. Er stellt keine Rechtsberatung dar.
Was KI-Anbieterrisiken besonders macht
Eine herkömmliche Drittanbieterprüfung behandelt Zugriffskontrolle, Verschlüsselung, Verfügbarkeit und Zertifizierungen. Bei KI-Anbietern ist all das ebenfalls erforderlich – und zusätzlich:
| Neues Risiko | Warum es relevant ist | Beispielfrage |
|---|---|---|
| Wiederverwendung von Daten für das Training | Ihre Prompts könnten ein Modell verbessern, das andere nutzen | Werden Kundendaten standardmäßig für Training oder Evaluierung verwendet? |
| Weitere Anbieter in der Lieferkette | Der Anbieter leitet Daten möglicherweise an Modellanbieter weiter | Welche Modellanbieter verarbeiten unsere Daten und in welchen Regionen? |
| Modellverhalten | Ausgaben können falsch oder unsicher sein oder Daten preisgeben | Wie wird das System auf Prompt Injection und Datenlecks getestet? |
| Schnelle Veränderungen | Modelle und Versionen ändern sich ohne Ankündigung | Wie werden Modelländerungen angekündigt und versioniert? |
| Regulierung | Der EU AI Act und branchenspezifische Vorschriften bringen zusätzliche Pflichten mit sich | Wie stufen Sie dieses System nach dem EU AI Act ein? |
| Kostenrisiko | Nutzungsabhängige Preise können zu Kostenspitzen führen | Gibt es Kontingente, Ausgabenlimits und Warnmeldungen? |
Das NIST AI Risk Management Framework behandelt KI-Drittanbieterrisiken ausdrücklich in seinen Funktionen Govern und Map. Das NIST Generative AI Profile (AI 600-1) führt Risiken in der Wertschöpfungskette und bei der Integration von Komponenten als Risiken generativer KI auf.
Schritt 1: Den Anbieter nach Anwendungsfall einstufen
Nicht jedes KI-Tool muss gleich gründlich geprüft werden. Legen Sie zuerst die Risikostufe fest und passen Sie dann den Umfang des Fragebogens an.
| Risikostufe | Kriterien | Prüftiefe |
|---|---|---|
| Stufe 1 (hoch) | Kundendaten, personenbezogene Daten, regulierte Daten oder eine KI, die Aktionen ausführt (Nachrichten versendet, Zahlungen auslöst, Datensätze ändert) | Vollständiger Fragebogen, Nachweise, Sicherheitstests, rechtliche Prüfung |
| Stufe 2 (mittel) | Interne Daten, jede Ausgabe wird von einem Menschen geprüft | Kernfragen + zentrale Nachweise |
| Stufe 3 (niedrig) | Nur öffentliche Daten, keine Integration | Kurzfragebogen + Prüfung der Vertragsbedingungen |
Dokumentieren Sie die Stufe und ihre Begründung in der Anbieterakte. Stufen Sie den Anbieter neu ein, wenn sich der Anwendungsfall ändert.
Schritt 2: Den Fragebogen zu KI-Anbieterrisiken versenden
Ergänzen Sie Ihren üblichen Sicherheitsfragebogen um diese Fragen, beispielsweise den Shared Assessments SIG oder die CSA AI Controls Matrix.
Datenverarbeitung und Datenschutz
- Werden unsere Daten (Prompts, Dateien, Ausgaben) zum Trainieren oder Evaluieren eines Modells verwendet? Was ist die Standardeinstellung? Gibt es eine Opt-out-Möglichkeit oder eine vertragliche Zusicherung?
- Wie lange werden Prompts, Ausgaben und Protokolle aufbewahrt? Können wir die Aufbewahrung deaktivieren oder eine kurze Frist festlegen?
- Wo werden Daten verarbeitet und gespeichert (Regionen)? Können wir eine Region fest vorgeben?
- Welche Unterauftragsverarbeiter und Modellanbieter erhalten unsere Daten? Wie werden wir über Änderungen informiert?
- Ist ein Auftragsverarbeitungsvertrag (AVV) verfügbar, und deckt er KI-Verarbeitung sowie internationale Datenübermittlungen ab?
Modell- und System-Governance
- Welche Modelle nutzt das Produkt, und stammen diese von Ihnen oder von Drittanbietern?
- Wie werden Modell- oder Versionsänderungen kommuniziert und getestet?
- Welche Evaluierungen führen Sie zu Genauigkeit, Verzerrungen und Sicherheit durch, und können Sie die Ergebnisse bereitstellen?
- Gibt es eine Dokumentation zum vorgesehenen Einsatzzweck und zu bekannten Grenzen (Model Cards oder System Cards)?
Sicherheit
- Welche Zertifizierungen oder Prüfbescheinigungen decken den KI-Dienst ab (SOC 2 Type II, ISO 27001, ISO 42001)? Gehört das KI-Produkt zum Prüfungsumfang?
- Wie testen Sie auf Prompt Injection, Datenlecks und übermäßige Handlungsbefugnisse (beispielsweise anhand der OWASP Top 10 for LLM Applications)?
- Wie werden API-Schlüssel ausgestellt, mit Berechtigungen versehen, rotiert und widerrufen?
- Was enthalten die Protokolle, wer hat Zugriff darauf, und können wir sie exportieren?
- Wie reagieren Sie auf KI-bezogene Sicherheitsvorfälle, und innerhalb welcher Fristen informieren Sie uns?
Betrieb und Kosten
- Welches SLA gilt, und deckt es die KI-Funktionen sowie die vorgelagerten Modellanbieter ab?
- Was passiert, wenn ein vorgelagerter Modellanbieter ausfällt: Ersatzanbieter, eingeschränkter Betrieb oder vollständiger Ausfall?
- Gibt es Kontingente pro Schlüssel, Ausgabenlimits und Nutzungswarnungen?
- Welche Ausstiegsbedingungen gelten: Datenexport, Löschbestätigung, Kündigungsfristen?
Regulierung
- Wie stufen Sie das System nach dem EU AI Act ein, und welche Pflichten erfüllen Sie als Anbieter beziehungsweise zur Unterstützung der Betreiber? Laut dem aktuellen Zeitplan für die Umsetzung gelten die Anforderungen an Hochrisikosysteme nach Anhang III ab dem 2. Dezember 2027.
- Werden Ausgaben, soweit vorgeschrieben, mit Hinweisen oder Kennzeichnungen für KI-generierte Inhalte versehen?
Schritt 3: Nachweise sammeln, nicht nur Antworten
Jedes „Ja“ in einer Prüfung der Stufe 1 sollte auf einen ablegbaren Nachweis verweisen.
| Antwort | Anzufordernde Nachweise | Was zu prüfen ist |
|---|---|---|
| „Wir trainieren nicht mit Ihren Daten“ | Vertragsklausel, AVV, Dokumentation der Produkteinstellung | Standardeinstellung oder Opt-out; gilt auch für Unterauftragsverarbeiter |
| „Daten werden 30 Tage aufbewahrt“ | Aufbewahrungsrichtlinie, Screenshot der Administratoreinstellung | Gilt für Protokolle und Backups |
| „SOC 2 Type II“ | Bericht unter NDA, Bridge Letter | KI-Dienst im Prüfungsumfang; Ende des Prüfungszeitraums; Ausnahmen |
| „Wir testen auf Prompt Injection“ | Testzusammenfassung oder Penetrationstestbericht | Datum, Umfang, Feststellungen, Nachtest |
| „Kontingente pro Schlüssel“ | Dokumentation oder Screenshot der Konsole; eigener Test | Limits blockieren Anfragen tatsächlich |
| „Modellanbieter sind aufgeführt“ | Liste der Unterauftragsverarbeiter mit Regionen | Entspricht Ihren Anforderungen an den Datenstandort |
Ein Zertifikat dient als Nachweis für die Vorauswahl, belegt aber nicht, dass Ihr Anwendungsfall sicher ist. Gateway-spezifische Nachweise finden Sie unter SOC-2-Nachweise für ein KI-API-Gateway, in der AVV-Checkliste für KI-Gateways und in der Checkliste zur Datenaufbewahrung bei KI-APIs.
Schritt 4: Den Anbieter bewerten
Bewerten Sie jeden Bereich mit 1-5 Punkten (5 = stark und durch Nachweise belegt) und gewichten Sie die Bereiche nach ihrer Bedeutung für Ihren Anwendungsfall:
| Bereich | Gewichtung (Beispiel für Stufe 1) | Bewertung 1 | Bewertung 5 |
|---|---|---|---|
| Datennutzung und Aufbewahrung | 25% | Training mit Daten als Standard, unklare Aufbewahrung | Kein Training, konfigurierbare Aufbewahrung, vertraglich zugesichert |
| Sicherheit und Tests | 25% | Keine KI-spezifischen Tests | Aktuelle Testnachweise mit Nachtest |
| Weitere Anbieter und Datenstandort | 15% | Unbekannte Modellanbieter | Vollständige Liste, Regionen, Änderungsmitteilung |
| Governance und Änderungen | 15% | Unangekündigte Modelländerungen | Versioniert, angekündigt, evaluiert |
| Betrieb und Kostenkontrolle | 10% | Kein SLA, keine Kontingente | SLA, Fallback, Kontingente, Ausgabenlimits |
| Vorbereitung auf regulatorische Anforderungen | 10% | Keine Einschätzung | Dokumentierte Einstufung und Pflichten |
Ein einfaches Bewertungsskript, das Sie zusammen mit der Anbieterakte aufbewahren können:
WEIGHTS = {"data": .25, "security": .25, "fourth_parties": .15,
"governance": .15, "operations": .10, "regulatory": .10}
def vendor_score(scores: dict, evidence: dict) -> dict:
"""scores: 1-5 per domain; evidence: True if the score is backed by filed evidence"""
capped = {d: (s if evidence.get(d) else min(s, 2)) for d, s in scores.items()} # no evidence -> max 2
total = sum(WEIGHTS[d] * capped[d] for d in WEIGHTS)
decision = "approve" if total >= 4 else "approve with conditions" if total >= 3 else "reject or escalate"
return {"score": round(total, 2), "decision": decision, "capped": capped}
print(vendor_score(
{"data": 5, "security": 4, "fourth_parties": 4, "governance": 3, "operations": 4, "regulatory": 3},
{"data": True, "security": True, "fourth_parties": True, "governance": False, "operations": True, "regulatory": False},
))
Die Regel zur Punkteobergrenze ist wichtig: Eine unbelegte Aussage sollte nie genauso gut bewertet werden wie eine durch Tests bestätigte.
Schritt 5: Risikoreiche Aussagen selbst überprüfen
Testen Sie bei Anbietern der Stufe 1 vor Vertragsabschluss einige Punkte in einer Sandbox:
- Schlüsselwiderruf: Widerrufen Sie einen Testschlüssel und bestätigen Sie, dass Anfragen sofort fehlschlagen.
- Kontingente: Legen Sie ein niedriges Kontingent fest und bestätigen Sie, dass Anfragen bei Erreichen des Limits blockiert werden.
- Modell-Freigabeliste: Rufen Sie ein Modell auf, das nicht erlaubt sein sollte, und bestätigen Sie, dass der Zugriff verweigert wird.
- Protokollinhalt: Prüfen Sie, was ein Anfrageprotokoll speichert (nur Metadaten oder den vollständigen Prompt).
# After revoking the test key in the vendor console, this should return 401
curl -s -o /dev/null -w "%{http_code}\n" https://api.vendor.example/v1/chat/completions \
-H "Authorization: Bearer $REVOKED_TEST_KEY" -H "Content-Type: application/json" \
-d '{"model":"any-model","messages":[{"role":"user","content":"ping"}]}'
Ein Fragebogen zeigt, was der Anbieter behauptet; diese Tests überprüfen einige Aussagen direkt. Ein vollständiger Sicherheitstest Ihrer eigenen KI-Anwendung ist eine separate Aufgabe, die unser Leitfaden zum KI-Sicherheitsaudit behandelt.
Schritt 6: Kontrollmaßnahmen vertraglich festhalten
| Klausel | Zweck |
|---|---|
| Kein Training mit Kundendaten (auch nicht durch Unterauftragsverarbeiter) | Verhindert die Wiederverwendung von Daten |
| Aufbewahrungsfrist und Löschung bei Vertragsende | Begrenzt das Risiko |
| Mitteilung über Änderungen bei Unterauftragsverarbeitern und Modellanbietern | Ermöglicht Widerspruch gegen neue Anbieter in der Lieferkette |
| Meldefrist für Datenschutzverletzungen und KI-Vorfälle | Beschleunigt die Reaktion |
| Audit- und Nachweisrechte | Ermöglicht die erneute Überprüfung von Aussagen |
| SLA, das KI-Funktionen abdeckt | Macht Verfügbarkeit vertraglich durchsetzbar |
| Datenstandort | Erfüllt Vorschriften zur Datenübermittlung |
Schritt 7: Nach der Freigabe laufend überwachen
- Prüfen Sie Anbieter der Stufe 1 jährlich erneut sowie dann, wenn der Anbieter Modelle, Unterauftragsverarbeiter oder Vertragsbedingungen ändert.
- Verfolgen Sie Nutzung und Kosten pro Anbieter und pro Schlüssel.
- Achten Sie auf Vorfälle und Sicherheitsmeldungen.
- Führen Sie eine Liste freigegebener Modelle, damit neue Modelle eine Prüfung durchlaufen (Freigabeprozess für KI-Modelle).
Ein KI-API-Gateway als Anbieter bewerten
Ein Gateway sitzt zwischen Ihren Anwendungen und mehreren Modellanbietern. Bewerten Sie daher beide Ebenen: das Gateway selbst (Schlüssel, Protokolle, Kontingente, Abrechnung, Support) sowie jeden vorgelagerten Anbieter, an den es Anfragen weiterleitet. Fordern Sie die Liste der Routen an und klären Sie, welche Anbieter welche Daten erhalten. Bei Flatkey können Sie beispielsweise im Nutzungsdashboard für jede Anfrage Modell, Tokens, Kosten und Schlüssel prüfen, Protokolle als CSV/JSON als Nachweise exportieren und in der API-Schlüsselverwaltung Schlüssel pro Umgebung erstellen oder widerrufen. Legen Sie diese Exporte zusammen mit dem Fragebogen in der Beschaffungsakte ab. Unser Nachweispaket für die Beschaffung eines KI-Gateways enthält die vollständige Zusammenstellung, und die Nachweisprüfung für Modellanbieter behandelt vorgelagerte Anbieter.
FAQ
Was ist eine Risikobewertung von KI-Anbietern?
Es handelt sich um eine strukturierte Prüfung eines KI-Produkts oder einer API eines Drittanbieters vor der Freigabe. Sie untersucht Datennutzung, Sicherheit, weitere Modellanbieter in der Lieferkette, Governance, Betrieb und die Vorbereitung auf regulatorische Anforderungen und stützt sich auf Nachweise sowie einen Risikowert.
Welche Fragen gehören in einen Fragebogen für KI-Anbieter?
Mindestens folgende: ob Ihre Daten zum Modelltraining verwendet werden, Aufbewahrung, Verarbeitungsregionen, Unterauftragsverarbeiter und Modellanbieter, Zertifizierungen für den KI-Dienst, KI-spezifische Sicherheitstests, Kontrollen für Schlüssel und Protokolle, SLA und Fallback, Kostenkontrolle, Ausstiegsbedingungen sowie die Einstufung nach dem EU AI Act.
Wie unterscheidet sich das Risikomanagement für KI-Anbieter vom üblichen TPRM?
Bei KI kommen die Wiederverwendung von Daten für das Training, weitere Modellanbieter in der Lieferkette, unvorhersehbare Modellausgaben, häufige Modelländerungen und KI-spezifische Regulierung hinzu. Die üblichen TPRM-Kontrollen gelten weiterhin.
Kann KI beim Management von Anbieterrisiken helfen?
Ja, KI-Tools können Fragebögen zusammenfassen und auf fehlende Nachweise hinweisen. Die Freigabeentscheidung und die Überprüfung der Nachweise sollte jedoch ein Mensch übernehmen, insbesondere bei Anbietern der Stufe 1.
Reicht ein SOC-2-Bericht aus, um einen KI-Anbieter freizugeben?
Nein. Prüfen Sie, ob der KI-Dienst vom Prüfungsumfang und Prüfungszeitraum des Berichts erfasst ist, und stellen Sie trotzdem KI-spezifische Fragen zu Training, Aufbewahrung, Modellanbietern und Tests. Die SOC-2-Übersicht der AICPA erläutert, was ein SOC-2-Bericht abdeckt.
Welche Rahmenwerke helfen bei KI-Anbieterrisiken?
Das NIST AI RMF und sein Generative AI Profile, die OWASP LLM Top 10 für technische Risiken, die CSA AI Controls Matrix, ISO/IEC 42001 für KI-Managementsysteme und der Fragebogen Shared Assessments SIG.
Quellen
Geprüft am 26. Oktober 2026: NIST AI RMF, NIST AI 600-1, OWASP Top 10 for LLM Applications, CSA AI Controls Matrix, Shared Assessments SIG, Zeitplan zum EU AI Act, DSGVO-Checkliste für KI-API-Gateways.
