Audit-Checkliste
Wie sicher ist Ihre KI-Plattform wirklich?
Eine strukturierte Bestandsaufnahme für selbstgebaute Web- und KI-Anwendungen - inklusive der Risiken, die es vor der KI so nicht gab. Acht Prüfpunkte, ein Ja oder Nein je Punkt - Sie sehen Ihr Ergebnis sofort, ohne Anmeldung.
- Kostenlos
- 8 Prüfpunkte
- Sofort-Ergebnis
- Ohne Anmeldung
Orientierung, keine individuelle Beratung - diese Checkliste ersetzt keine individuelle Sicherheitsprüfung oder einen externen Penetrationstest.
Worum es geht
KI vergrößert die Angriffsfläche
Wer eine Plattform mit KI-Funktionen baut, erbt zwei Sicherheitswelten: die vertraute der Web-Anwendungen und eine neue, in der Sprache selbst zum Angriffsvektor wird. Beide gleichzeitig zu übersehen, ist der häufigste Fehler. KI ersetzt klassische Web-Sicherheit nicht - sie kommt obendrauf. Ein Audit für eine KI-Plattform prüft beide Ebenen: die bewährten Grundlagen und die KI-eigenen Risiken. Wer nur eine davon abhakt, hat die Hälfte der Tür offen gelassen.
Die Audit-Checkliste
Acht Prüfpunkte zu Ihrer Plattform
Ein kompakter Durchgang aus klassischen Grundlagen und KI-spezifischen Risiken.
Eingaben gekapselt: Gelangt Nutzertext nur in klar markierten Blöcken ans Modell - sind Daten und Anweisungen getrennt?
Modell-Ausgabe gezähmt: Wird keine Antwort ungeprüft als Befehl ausgeführt oder ungefiltert gerendert?
URL-Fetch abgesichert: Ist eine Ziel-Whitelist aktiv, sind private IP-Bereiche geblockt und Redirect-Hops begrenzt?
Injection ausgeschlossen: Sind alle Datenbank-Abfragen parametrisiert oder sauber escaped - ohne String-Verkettung?
Authentifizierung solide: Gibt es Access/Refresh-Rotation, ausreichend lange Secrets und Account-Lockout gegen Brute-Force?
Rate-Limiting greift: Sind Login und teure KI-Endpunkte gedrosselt - und Security-Header sowie CORS explizit gesetzt?
Secrets sauber: Kommen alle Zugangsdaten ausschließlich aus Umgebungsvariablen - nichts im Code oder Repository?
Infrastruktur dicht: Ist der Docker-Socket nicht exponiert und sind Dienste, wo möglich, nur nach innen erreichbar?
Ihre Auswertung
Ihr Ergebnis
Beantworten Sie alle 8 Fragen, um Ihre Auswertung zu sehen. Noch 8 offen.
So lesen sich die Ergebnis-Bereiche:
- 0 - 2 offene Punkte
Solide Grundlage
Die meisten der acht Kernpunkte sind abgedeckt. Die verbleibenden Lücken lassen sich meist gezielt schließen. Stufen Sie sie trotzdem ein, statt sie zu vergessen.
- 3 - 5 offene Punkte
Mehrere Lücken - priorisieren
Stufen Sie jeden offenen Punkt nach den drei Stufen unten ein und schließen Sie zuerst, was direkten Schaden ermöglicht.
- 6 - 8 offene Punkte
Dringender Handlungsbedarf
Sechs oder mehr der acht Kernpunkte sind offen - sowohl bei den klassischen Grundlagen als auch bei den KI-spezifischen Risiken. Eine strukturierte Prüfung mit fachlicher Begleitung ist ratsam.
Ein Audit, das dreißig grüne Haken produziert, beruhigt - und verdeckt die zwei roten Punkte, die zählen. Der Wert liegt nicht in der Länge der Liste, sondern in der klaren Ansage, was zuerst zu tun ist.
Nicht abhaken, sondern bewerten
Wie dringend ist ein offener Punkt?
Ein fehlendes Cookie-Flag und ein ungeschützter Datenbank-Zugriff stehen nicht auf derselben Stufe.
Kritisch - zuerst
Ein Angreifer kann Daten abziehen, Rechte übernehmen oder das System steuern. Beispiele: Injection, offener Admin-Zugang, Docker-Socket exponiert. Wird vor allem anderen behoben.
Wichtig - geplant
Kein sofortiger Durchgriff, aber eine ernste Schwächung: fehlendes Rate-Limiting, zu kurze Token-Secrets, laxe Header. Wird zeitnah und geplant geschlossen.
Optional - Härtung
Gute Praxis, die das Restrisiko senkt: strengere Content-Policies, zusätzliche Protokollierung, Feinheiten der Konfiguration. Nice-to-have, nicht dringend.
Häufige Fragen
Ist diese Checkliste eine vollständige Sicherheitsprüfung?
Nein. Sie dient der Orientierung und ersetzt keine individuelle Beratung, keine individuelle Sicherheitsprüfung und keinen externen Penetrationstest. Ein interner Check findet die offensichtlichen und typischen Lücken zuverlässig - bei kritischen Systemen oder sensiblen Daten gehört zusätzlich eine externe Prüfung dazu.
Wie wird das Ergebnis berechnet?
Gezählt werden die offenen Punkte: jedes Nein bei den acht Prüfpunkten aus der Audit-Checkliste - von gekapselten Eingaben und abgesichertem URL-Fetch über Injection-Schutz und Authentifizierung bis zu sauberen Secrets und dichter Infrastruktur. Je höher die Summe, desto mehr Lücken sind offen.
Muss ich meine E-Mail-Adresse angeben?
Nein. Die Checkliste läuft in Ihrem Browser, das Ergebnis erscheint sofort und ohne Anmeldung. Damit wir sehen, wie die Checkliste genutzt wird, speichern wir Ihre Ja/Nein-Antworten und das Ergebnis, ohne Namen und ohne IP-Adresse, und setzen dafür kein Cookie.
Was ist der Unterschied zwischen klassischen und KI-spezifischen Risiken?
Klassische Risiken - Injection, schwache Authentifizierung, offene Header, geleakte Secrets - bleiben bestehen, egal ob KI im Spiel ist. KI-spezifische Risiken wie Prompt-Injection und SSRF beim URL-Fetch entstehen erst dort, wo ein Modell Nutzereingaben oder externe Inhalte verarbeitet. Ein vollständiges Audit prüft beide Ebenen gemeinsam.
Was ist der sinnvolle nächste Schritt?
Stufen Sie die offenen Punkte ein (kritisch, wichtig, optional) und schließen Sie die kritischen zuerst. Bei mehreren offenen Punkten oder sensiblen Daten hilft eine strukturierte Prüfung, etwa unser Plattform-Audit oder ein Härtungs-Workshop für Ihr Team.
Prüfen wir Ihre Plattform - ehrlich.
In einem kurzen Gespräch schauen wir auf Ihre selbstgebaute Web- oder KI-Anwendung und ordnen ein, wo die kritischen Punkte liegen, klassische Grundlagen und KI-spezifische Risiken zusammen, nach Dringlichkeit sortiert statt als lange Liste.
Nächste freie Termine mit Daniel
Diese Checkliste dient der Orientierung und ersetzt keine individuelle Sicherheitsprüfung oder einen externen Penetrationstest.