ISO 27090: Neuer Sicherheitsleitfaden für KI-Systeme

ISO und IEC haben einen Leitfaden veröffentlicht, der die Angriffe ordnet, die es so nur bei KI-Systemen gibt. Hier liest du, was drinsteht und was die Norm für kleine Teams bedeutet.

Was passiert ist

Laut IEC-Webstore ist ISO/IEC 27090:2026 am 14. Oktober 2026 erschienen. Der volle Titel lautet „Cybersecurity — Artificial intelligence (AI) — Addressing security threats and compromises to AI systems“. Die Erstausgabe umfasst 56 Seiten, kostet 204 Schweizer Franken und ist nur auf Englisch erhältlich (Stand: Oktober 2026). Erarbeitet hat sie das Unterkomitee ISO/IEC JTC 1/SC 27, das für Informationssicherheit, Cybersicherheit und Datenschutz zuständig ist.

Laut Scope richtet sich die Norm an Organisationen aller Arten und Größen, die KI-Systeme entwickeln oder einsetzen. Sie soll helfen, Bedrohungen über den gesamten Lebenszyklus eines KI-Systems zu verstehen, zu erkennen und abzuschwächen.

Welche Angriffe ISO 27090 beschreibt

heise online nennt acht Angriffsklassen:

Angriff	Was passiert
Data Poisoning	Jemand manipuliert die Trainingsdaten, das Modell lernt Falsches
Manipulation von Modellgewichten	Jemand verändert das fertige Modell direkt
Evasion	Präparierte Eingaben bringen das Modell gezielt zu Fehlern
Model Extraction	Jemand baut das Modell über seine Schnittstelle nach
Membership Inference	Angreifer prüfen, ob bestimmte Daten im Training waren
Model Inversion	Aus den Ausgaben werden Trainingsdaten rekonstruiert
Prompt Injection	Eingaben oder Dokumente enthalten versteckte Anweisungen
Angriffe über Modellausgaben	Die Ausgabe selbst transportiert die Manipulation weiter

Laut ISO27001security.com gibt die Norm zu jeder Bedrohung etwa eine Seite zu Merkmalen, Folgen, Erkennung und Abwehr. Kapitel 6 beschreibt die Angriffsarten, Kapitel 7 die Gegenmaßnahmen. Anhang A ordnet die Angriffe den Phasen des Lebenszyklus und den betroffenen Assets zu.

Eine Lücke benennt heise deutlich: Agentische KI-Systeme mit Zugriff auf Werkzeuge behandelt die Erstausgabe nur am Rande. Wenn du einen eigenen KI-Agenten baust, der E-Mails liest oder Dateien schreibt, findest du das Grundvokabular, aber kein eigenes Kapitel zu dieser Angriffsfläche. ISO27001security.com kritisiert außerdem, dass zufällige Fehler und Insider weitgehend außen vor bleiben.

Wie die Norm zu ISO 27001 und 42001 passt

ISO 27090 ersetzt keine bestehende Norm, sondern ergänzt sie:

• ISO/IEC 27001 und 27002: ISO/IEC 27001:2022 legt Anforderungen an ein Informationssicherheits-Managementsystem fest. Laut heise zeigt ISO 27090, wo klassische Maßnahmen bei KI ausreichen und wo Modelle, Trainingsdaten und ML-Pipelines zusätzlichen Schutz brauchen.
• ISO/IEC 42001: Die Norm für KI-Managementsysteme erschien am 18. Dezember 2023. Laut heise verlangt ihr Anhang A Sicherheitsmaßnahmen für KI, nennt aber keine konkreten Angriffe. Diese Lücke schließt ISO 27090.

Was ISO 27090 nicht ist

Kein Zertifikat. Laut heise ist ISO 27090 ein Leitfaden ohne Anforderungscharakter, ein Zertifikat gibt es nicht. Liest du in einer Ausschreibung „ISO-27090-zertifiziert“, frag nach, was damit gemeint ist.

Keine Konformitätsvermutung nach dem AI Act. Die KI-Verordnung verlangt in Artikel 15 Absatz 5, dass Hochrisiko-KI-Systeme widerstandsfähig gegen Versuche unbefugter Dritter sind, ihre Nutzung, Ausgaben oder Leistung durch das Ausnutzen von Schwachstellen zu verändern. Der Text nennt ausdrücklich Data Poisoning, Model Poisoning, Adversarial Examples und Model Evasion sowie Vertraulichkeitsangriffe. Eine Konformitätsvermutung entsteht nach Artikel 40 aber nur durch harmonisierte Normen, deren Fundstelle im Amtsblatt der EU veröffentlicht ist. Laut heise begründet ISO 27090 keine solche Vermutung.

Am 14. Oktober 2026 meldete CEN-CENELEC JTC 21 die erste harmonisierte Norm unter dem AI Act: EN 18286 zum Qualitätsmanagementsystem, verbunden mit dem Durchführungsbeschluss (EU) 2026/2274. Die europäische Norm zur Cybersicherheit von KI, prEN 18282, ist laut heise noch im Entwurf (Stand: Oktober 2026).

Für Hochrisiko-Systeme nach Anhang III gelten die Pflichten aus Artikel 15 laut Artikel 113 ab dem 2. Dezember 2027, für Systeme nach Anhang I ab dem 2. August 2028. Diese Daten stammen aus der durch den Digital-Omnibus geänderten Fassung (Stand: Oktober 2026).

Was es für dich bedeutet

Du nutzt KI-Tools nur intern. Dann musst du die Norm nicht kaufen. Wichtiger ist eine KI-Richtlinie im Unternehmen, die regelt, welche Daten in welche Tools dürfen. Prompt Injection wird für dich vor allem relevant, wenn KI-Tools Dokumente, E-Mails oder Webseiten von Dritten lesen.

Du baust KI-Funktionen in eigene Apps ein. Hier wird ISO 27090 zur Checkliste. Wenn du eine App mit KI erstellst, die Nutzereingaben an ein Sprachmodell schickt, prüf Prompt Injection, Angriffe über Modellausgaben und Model Extraction über deine Schnittstelle. Eine Sicherheitsprüfung ersetzt die Norm nicht, sie gibt deinem Sicherheitskonzept aber eine Struktur.

Du belieferst Kunden mit ISO-27001-Anforderungen. Dann kannst du dein Sicherheitskonzept für KI-Komponenten an einem veröffentlichten Standard ausrichten, statt eigene Kategorien zu erfinden.

Ob du bestimmte Daten überhaupt in ein KI-Tool geben darfst, ist eine Frage der DSGVO. Für Claude beantworte ich sie in einer eigenen Checkliste. ISO 27090 befasst sich mit Angreifern, nicht mit dem Datenschutzrecht.

Mein Rat: Kauf die Norm, wenn du KI-Funktionen verkaufst oder für Kunden mit Sicherheitsanforderungen arbeitest. Allen anderen reicht es, die acht Angriffsklassen zu kennen und für den eigenen Einsatz durchzugehen.

Quellen

• ISO/IEC 27090:2026 im IEC-Webstore (Primärquelle: Titel, Datum, Umfang, Preis, Komitee, Scope)
• heise online: ISO/IEC 27090 soll KI-Systeme sicher machen
• ISO27001security.com zu ISO/IEC 27090
• ISO/IEC 27001:2022 und ISO/IEC 42001:2023 im IEC-Webstore
• BSI zur ISO-27001-Zertifizierung
• AI Act beim AI Act Service Desk der EU-Kommission: Artikel 15, Artikel 40, Artikel 113
• CEN-CENELEC JTC 21

Häufige Fragen

Kann ich mich nach ISO 27090 zertifizieren lassen?

Nein. ISO/IEC 27090 ist laut heise online ein Leitfaden ohne Anforderungscharakter, ein Zertifikat gibt es nicht. Zertifizierbar sind ISO/IEC 27001, in Deutschland etwa über das BSI, und laut heise ISO/IEC 42001. ISO 27090 liefert dafür den KI-spezifischen Katalog an Bedrohungen.

Reicht ISO 27090 für den EU AI Act?

Nein. Nach Artikel 40 AI Act entsteht eine Konformitätsvermutung nur durch harmonisierte Normen, deren Fundstelle im Amtsblatt der EU veröffentlicht ist. ISO 27090 gehört nicht dazu. Die europäische Cybersicherheitsnorm prEN 18282 ist laut heise noch im Entwurf (Stand: Oktober 2026).

Was kostet ISO/IEC 27090 und wo bekomme ich sie?

Im IEC-Webstore kostet die Norm 204 Schweizer Franken für einen Einzelnutzer. Sie ist nur auf Englisch erhältlich (Stand: Oktober 2026).

Brauche ich ISO 27090 als kleines Unternehmen?

Kaufen musst du sie nicht. Nützlich ist sie, wenn du KI-Funktionen in eigene Produkte einbaust oder Kunden belieferst, die nach ISO 27001 arbeiten. Wenn du ChatGPT oder Claude nur nutzt, ist eine KI-Richtlinie im Unternehmen der wichtigere Schritt.