Die fortschreitende Digitalisierung von Gesellschaft und Wirtschaft führt zu einer zunehmenden Abhängigkeit von komplexen Informations- und Kommunikationstechnologien. Vom Gesundheitswesen und öffentlichen Dienstleistungen bis hin zu Künstlicher Intelligenz und vernetzten Infrastrukturen unterstützen digitale Technologien heute zahlreiche Bereiche unseres täglichen Lebens.
Damit gewinnt auch digitales Vertrauen zunehmend an Bedeutung. Es beschreibt die Erwartung, dass digitale Systeme zuverlässig und sicher funktionieren, persönliche und sensible Informationen schützen und im Einklang mit rechtlichen, ethischen und regulatorischen Anforderungen eingesetzt werden.
Technologische Innovationen schaffen erhebliche Chancen für effizientere Dienstleistungen, datengetriebene Anwendungen und neue Formen der Zusammenarbeit. Gleichzeitig erhöhen sie jedoch die Komplexität und Angriffsfläche digitaler Systeme. Vertrauen aufzubauen und langfristig zu erhalten, wird dadurch anspruchsvoller.
Dies zeigt sich beispielsweise im Gesundheitswesen. Die Digitalisierung medizinischer Informationen kann eine bessere Koordination und einen einfacheren Zugang zu Daten ermöglichen. Diese Vorteile können jedoch nur dann vollständig genutzt werden, wenn Bürgerinnen und Bürger darauf vertrauen, dass ihre sensiblen Informationen vertraulich bleiben und ausschließlich für legitime Zwecke verwendet werden.
Vertrauen ist dabei nicht nur eine Frage des Schutzes von Daten vor unbefugtem Zugriff. Digitale Systeme müssen ebenso verfügbar, zuverlässig, transparent und resilient sein.
Digitales Vertrauen geht über Cybersicherheit hinaus
Mit der Ausweitung digitaler Ökosysteme werden die Beziehungen zwischen Bürgerinnen und Bürgern, Organisationen, Dienstanbietern und zunehmend auch KI-basierten Systemen komplexer. Nahezu jede digitale Interaktion erzeugt Daten, und jeder Datenaustausch bringt sowohl Chancen als auch Risiken mit sich.
Die europäischen Datenschutzvorschriften haben die Rechte von Einzelpersonen in Bezug auf ihre personenbezogenen Daten erheblich gestärkt. In der Praxis ist die Ausübung dieser Rechte jedoch nicht immer einfach. Einwilligungsmechanismen sind häufig schwer verständlich, und Nutzerinnen und Nutzer können nicht immer nachvollziehen, wie ihre Informationen anschließend verwendet, weitergegeben oder erneut genutzt werden.
Gleichzeitig bringt Künstliche Intelligenz (KI) eine zusätzliche Ebene der Komplexität mit sich. KI-Systeme basieren auf großen Datenmengen und komplexen Modellen, die selbst zum Ziel von Cyberangriffen werden können. Manipulierte Trainingsdaten, gezielt irreführende Eingaben oder Modelldiebstahl können beeinflussen, wie KI-Systeme funktionieren und welche Entscheidungen sie treffen.
Hinzu kommt die technologische Infrastruktur, auf der digitale Dienste aufbauen. Moderne IKT-Systeme bestehen aus komplexen Kombinationen von Software, Hardware, Open-Source-Komponenten, Cloud-Diensten und Technologien von Drittanbietern. Eine Schwachstelle in nur einer Komponente kann potenziell ein gesamtes System beeinträchtigen.
Daraus ergeben sich drei eng miteinander verbundene Herausforderungen: Menschen eine tatsächliche Kontrolle über ihre Daten zu ermöglichen, KI-Systeme vor neuen Angriffsmethoden zu schützen und die digitalen Lieferketten abzusichern, von denen diese Technologien abhängig sind.
Die europäischen Forschungs- und Innovationsprojekte CONSENTIS und cPAID betrachten insbesondere die Kontrolle über personenbezogene Daten und die Sicherheit von KI-Systemen aus unterschiedlichen Perspektiven. Sie verfolgen jedoch ein gemeinsames Ziel: digitale Umgebungen zu schaffen, in denen Innovation voranschreiten kann, ohne Sicherheit, Transparenz, Resilienz oder die Rechte von Einzelpersonen zu beeinträchtigen.
CONSENTIS: IDENTITY AND CONSENT MANAGEMENT FOR EU DIGITAL AND DATA STRATEGIES
CONSENTIS konzentriert sich auf eine zentrale Herausforderung der europäischen digitalen Landschaft: Wie kann ein sinnvoller Datenaustausch zwischen verschiedenen Diensten ermöglicht werden – sei es für Forschung, geschäftliche Nutzung oder den Austausch von Informationen im Bereich Cybersicherheit – und gleichzeitig sichergestellt werden, dass die Rechte der Bürgerinnen und Bürger geschützt bleiben?
Das Projekt verfolgt zwei Ziele: Menschen sollen eine tatsächliche Kontrolle über ihre personenbezogenen Daten erhalten, während Organisationen dabei unterstützt werden, diese Daten verantwortungsvoll zu nutzen, ohne rechtliche Unsicherheiten oder intransparente Prozesse. Im Kern verbindet CONSENTIS eine Self-Sovereign-Identity-Architektur mit einem nutzerzentrierten Einwilligungsmanagementsystem.
Das Projekt unterscheidet vier zentrale Akteure innerhalb des Datenökosystems: die betroffene Person, den Dateninhaber, den Datenvermittler und den Datennutzer. Gleichzeitig wird betrachtet, wie Daten zwischen diesen Akteuren in drei wesentlichen Arten von Interaktionen ausgetauscht werden: bei der Verwaltung von Identitäten und personenbezogenen Daten, bei der primären Datennutzung – beispielsweise im Rahmen eines Onboardings oder einer Dienstleistung – sowie bei der sekundären Nutzung, etwa für Analysen, KI-Training oder organisationsübergreifende Zusammenarbeit.
CONSENTIS integriert dezentrale Identifikatoren, Blockchain-gestützte Vertrauensmechanismen und dynamische Einwilligungswerkzeuge. Diese ermöglichen es Nutzerinnen und Nutzern, ihre Berechtigungen in Echtzeit zu erstellen, zu aktualisieren, zu widerrufen und zu überprüfen.
Unterstützt durch eine umfassende Vertrauens- und Sicherheitsebene sowie kontinuierliche Bewertungen rechtlicher und sicherheitsbezogener Risiken soll das System unabhängig von einzelnen Diensten funktionieren und sich an unterschiedliche Anwendungsbereiche anpassen lassen.
CONSENTIS zeigt damit, dass Innovation und die Stärkung der Nutzerrechte miteinander vereinbar sein können: Menschen behalten die Kontrolle über ihre Daten, während Organisationen diese verantwortungsvoll nutzen können.
Die Kontrolle über Daten ist jedoch nur ein Teil des digitalen Vertrauens. Da Daten zunehmend von KI-Systemen verarbeitet werden, muss Vertrauen auch die Sicherheit und Resilienz der KI-Systeme selbst umfassen. Genau hier setzt cPAID an.
cPAID – Cloud-based Platform-agnostic Adversarial AI Defence Framework – befasst sich mit einer der derzeit dringendsten digitalen Herausforderungen: der Absicherung Künstlicher Intelligenz.
KI spielt heute eine wichtige Rolle im Gesundheitswesen, im Verkehr, im Energiesektor und bei der Umweltüberwachung. Gleichzeitig entstehen neue Formen von Cyberangriffen, beispielsweise manipulierte Trainingsdaten, gezielt irreführende Eingaben oder der Diebstahl von KI-Modellen. Solche Risiken lassen sich mit traditionellen Sicherheitsansätzen allein nicht ausreichend adressieren.
cPAID ist ein Horizon-Europe-Projekt, das 2024 gestartet wurde und eine Laufzeit von drei Jahren hat. Das Konsortium umfasst 17 Organisationen aus ganz Europa, darunter Universitäten, Forschungseinrichtungen, Technologieunternehmen und ein Krankenhaus. Ziel ist die Entwicklung eines Frameworks, das KI-Systeme während ihres gesamten Lebenszyklus schützt – von der Datenerfassung und dem Training bis hin zur Bereitstellung und zum Betrieb in Echtzeit.
Das Projekt entwickelt Werkzeuge, mit denen KI-Systeme durch simulierte Cyberangriffe getestet, ihr Verhalten auf Auffälligkeiten überwacht und Schutzmaßnahmen dynamisch an neue Risiken angepasst werden können. Dabei werden etablierte Praktiken aus der Softwareentwicklung erweitert, indem Datenschutz, Sicherheit und Erklärbarkeit in jede Phase des KI-Lebenszyklus integriert werden.
Auch generative KI wird eingesetzt, um realistische Angriffsszenarien zu erstellen und Schutzmechanismen zu verbessern, bevor die Systeme realen Bedrohungen ausgesetzt sind.
Um die Lösungen unter realistischen Bedingungen zu testen, wird cPAID in fünf Pilotprojekten validiert. Im Bereich Energie werden Arbeitsroboter zur Überwachung von Batterien für Elektrofahrzeuge eingesetzt. Im Bereich Überwachung kommen 5G-fähige Drohnen zum Einsatz, um Waldbrände in abgelegenen Waldgebieten zu erkennen. Im Gesundheitswesen liegt der Schwerpunkt auf der Absicherung von KI-gestützten medizinischen Geräten, die aus der Ferne eingesetzt werden. Im Bereich Verkehr wird die Robustheit von Objekterkennungssystemen für autonome Schiffe getestet. Im Bereich Cybersecurity Awareness werden Fachkräfte darin geschult, realistische Herausforderungen und Angriffsszenarien zu simulieren.
Jedes Pilotprojekt bietet damit eine anspruchsvolle Umgebung, in der das Framework getestet und sein Nutzen für kritische Sektoren demonstriert werden kann.
Indem KI-Sicherheit von Anfang an als fester Bestandteil eines Systems betrachtet und nicht erst nachträglich ergänzt wird, soll cPAID Organisationen dabei unterstützen, Innovationen sicherer voranzutreiben und gleichzeitig Nutzerinnen und Nutzer zu schützen. Darüber hinaus möchte das Projekt einen Beitrag zur digitalen Autonomie Europas leisten und die Berücksichtigung regulatorischer Anforderungen wie des EU AI Act und europäischer Cybersicherheitsvorgaben unterstützen.
Für Bürgerinnen und Bürger bedeutet sichere KI letztlich sicherere Dienste, einen stärkeren Schutz ihrer Daten und mehr Vertrauen in KI-Systeme, die zunehmend unseren Alltag prägen.
Doch KI-Systeme funktionieren nicht isoliert. Sie sind auf Hardware, Softwarebibliotheken, Cloud-Infrastrukturen und Komponenten verschiedener Drittanbieter angewiesen. Wird eines dieser Elemente kompromittiert, kann dies die Sicherheit des gesamten Systems beeinträchtigen. Digitales Vertrauen erfordert daher auch einen verantwortungsvollen Umgang mit Abhängigkeiten innerhalb digitaler Lieferketten.
Zwei Perspektiven auf dieselbe Herausforderung
CONSENTIS und cPAID adressieren unterschiedliche technologische Ebenen und zeigen gleichzeitig, wie eng die verschiedenen Dimensionen digitalen Vertrauens miteinander verbunden sind.
CONSENTIS konzentriert sich auf Menschen und Daten und darauf, Einzelpersonen eine tatsächliche Kontrolle über ihre persönlichen Informationen zu ermöglichen. cPAID fokussiert sich auf die KI-Systeme, die solche Daten zunehmend verarbeiten, und integriert Sicherheit, Datenschutz, Robustheit und Erklärbarkeit über deren gesamten Lebenszyklus.
Ein sicheres KI-System kann nicht vollständig vertrauenswürdig sein, wenn die verarbeiteten Daten ohne angemessene Kontrolle verwendet werden. Eine starke Daten-Governance kann wiederum keine umfassende Sicherheit gewährleisten, wenn die zugrunde liegende Software oder Hardware Schwachstellen enthält.
Digitales Vertrauen muss deshalb über das gesamte digitale Ökosystem hinweg betrachtet werden.
Vertrauen als Grundlage der digitalen Zukunft Europas
Europa verfolgt das Ziel, technologische Innovation mit hohen Anforderungen an Datenschutz, Cybersicherheit, Transparenz und Verantwortlichkeit zu verbinden. Regulierung schafft dafür eine wichtige Grundlage. Vorschriften allein können jedoch keine vertrauenswürdigen digitalen Systeme schaffen. Sie müssen in konkrete Technologien, Architekturen und Prozesse übersetzt werden.
Die Ansätze von CONSENTIS und cPAID zeigen, wie zentrale digitale Herausforderungen auf unterschiedlichen, aber miteinander verbundenen Ebenen adressiert werden können: durch die Kontrolle über Daten und die Resilienz Künstlicher Intelligenz. Auch die Sicherheit der zugrunde liegenden digitalen Infrastruktur und Lieferketten bleibt dabei von Bedeutung.
Beiden liegt ein gemeinsames Prinzip zugrunde: Vertrauen sollte nicht erst hinzugefügt werden, nachdem eine Technologie entwickelt wurde. Es muss von Anfang an mitgedacht werden.
Für Bürgerinnen und Bürger bedeutet dies mehr Sicherheit darüber, dass persönliche Informationen geschützt werden und digitale Dienste zuverlässig funktionieren. Für Organisationen bedeutet es, innovative Technologien einsetzen zu können und gleichzeitig die damit verbundenen Risiken besser zu verstehen und zu kontrollieren.
Letztlich wird die digitale Zukunft Europas nicht nur davon abhängen, wie fortschrittlich seine Technologien sind, sondern auch davon, ob Bürgerinnen und Bürger sowie Organisationen den Systemen vertrauen können, auf denen diese Zukunft aufbaut.
Förderhinweise
CONSENTIS wird im Rahmen des Forschungs- und Innovationsprogramms Horizon Europe der Europäischen Union unter der Finanzhilfevereinbarung Nr. 101120962 gefördert.
cPAID wird unter der Finanzhilfevereinbarung Nr. 101168407 vom Europäischen Kompetenzzentrum für Cybersicherheit (ECCC) unterstützt. Die geäußerten Ansichten und Meinungen sind ausschließlich die der Autorin beziehungsweise der Autorinnen und Autoren und spiegeln nicht notwendigerweise die Ansichten der Europäischen Union oder des Europäischen Kompetenzzentrums für Cybersicherheit wider. Weder die Europäische Union noch die Bewilligungsbehörde können dafür verantwortlich gemacht werden.
