35 Jahre in der Sicherheit, vom Nachrichtendienst der U.S. Army über GRC bei HSBC, Deutsche Bank und Commerzbank bis zum CISO bei einem neunstelligen Private-Equity-Exit. Heute helfe ich europäischen Teams, KI-Systeme auszuwählen, zu entwickeln und abzusichern – mit Kontrollen, die von der ersten Skizze an mitgedacht sind.
Tim CrouchGründer und CTO, Global Software AI. CISSP. Mit Sitz in Riga, tätig in ganz Europa.
Ein freigegebenes Dokument enthält versteckte Anweisungen. Der Assistent liest es als Kontext und befolgt sie, etwa indem er Daten per E-Mail weiterleitet.
Abgerufenen Text als nicht vertrauenswürdige Daten behandeln, von Anweisungen trennen und begrenzen, was das Modell nach dem Lesen auslösen kann.
OWASP LLM01:2025 Prompt Injection. CISSP-Domäne 8, Software Development Security.
Prompts tragen Kundennamen, Verträge oder Kontodaten zu einem Modell eines Drittanbieters, außerhalb Ihrer Auftragsverarbeitungsverträge.
Festlegen, was gesendet werden darf, vor dem Aufruf schwärzen, einen in der EU gehosteten Endpunkt mit AVV nutzen und protokollieren, was übertragen wurde.
OWASP LLM02:2025 Sensitive Information Disclosure. DSGVO Artikel 28. CISSP-Domäne 2, Asset Security.
Der Assistent besitzt ein Token, mit dem er für das ganze Unternehmen E-Mails senden und Datensätze ändern kann. Eine einzige falsche Anweisung hat so große Auswirkungen.
Tokens auf den Nutzer beschränken, ausgehende Aktionen nur als Entwurf erlauben und für alles, was das Unternehmen verlässt, eine menschliche Freigabe verlangen.
OWASP LLM06:2025 Excessive Agency. CISSP-Domäne 5, Identity and Access Management.
Der Suchindex wurde mit einem Admin-Konto erstellt. So kann jeder den Assistenten nach Personalakten oder Vorstandsunterlagen fragen, die er nie öffnen dürfte.
Die Zugriffsrechte des Quellsystems zur Abfragezeit pro Nutzer durchsetzen und mit Konten testen, die abgewiesen werden müssen.
OWASP LLM08:2025 Vector and Embedding Weaknesses. CISSP-Domäne 5.
Wenn etwas schiefgeht, gibt es keine Aufzeichnung von Prompt, abgerufenen Quellen oder Tool-Aufrufen. Sie können weder untersuchen noch Compliance nachweisen.
Prompts, Quellen und Aktionen mit Aufbewahrungsregeln protokollieren, die Ihren Pflichten entsprechen, und bei ungewöhnlicher Tool-Nutzung alarmieren.
NIST AI RMF, Funktionen Measure und Manage. CISSP-Domäne 7, Security Operations.
Jedes Engagement beginnt mit einem klaren Problem. Umfang, Honorar und Ergebnisse vereinbaren wir vor jeder bezahlten Arbeit, und Sie entscheiden danach, ob Sie weitergehen möchten.
Am häufigsten angefragt
Für Teams, die KI-Tools einführen oder eine KI-Funktion für den breiteren Einsatz vorbereiten.
Review besprechenFür Teams, die wissen, dass KI helfen könnte, aber entscheiden müssen, wo sie anfangen.
Für Gründer und Teams mit einem konkreten Produkt oder einer Integration, die umgesetzt werden soll.
Zwei Tage vor Ort für Führungsteams mit bis zu 20 Personen. Online-Module und Zertifikat inklusive.
Ebenfalls verfügbar: Sicherheits- und Compliance-Beratung (ISO 27001, DSGVO, Cloud-Sicherheit) und individuelle Software für regulierte Umgebungen.
Gründer und CTO, Global Software AIKI-Sicherheitsberatung und CompylotAI, aus Riga
CTO und Berater, lizenzierte deutsche InvestmentgesellschaftFinTech- und TaxTech-Geschäftsbereiche sowie eine Post-Merger-Integration
Berater für Cybersicherheit und GRCHSBC Trinkaus, Deutsche Bank, Commerzbank
Mitgründer, CISO und CTO, Education AdvancedSaaS-Unternehmen, begleitet bis zu einem neunstelligen Private-Equity-Exit
Vernehmungsoffizier im Nachrichtendienst der U.S. ArmyTop-Secret-Freigabe, Arbeit auf Russisch und Deutsch
Artikel und Videos zur Absicherung von KI. Die meisten fassen eine Primärquelle wie NIST, OWASP oder den EU AI Act zusammen und ordnen sie den CISSP-Domänen zu, mit denen ein Sicherheitsteam arbeitet.
Jede Woche eine Entwicklung aus der Sicherheit und eine aus der KI, mit dem, was sie für Teams bedeutet, die Software entwickeln und betreiben.
Folgen Sie uns auf LinkedIn, YouTube oder per RSS. Die Artikel erscheinen auf Englisch.
Software, die aus Kundenprojekten entstanden ist, in Riga entwickelt und im Produktivbetrieb.
Vorabprüfung von Kommunikationsentwürfen für Compliance-Teams in EU- und deutschen Finanzinstituten. Die KI bereitet die Prüfung vor. Ihre Prüfer behalten das letzte Wort.
CompylotAI entdeckenEin ständig verfügbarer Assistent auf dedizierter, in der EU gehosteter Infrastruktur, gesteuert über Telegram. Sie halten die Zugangsdaten, und jeder Support-Zugriff wird protokolliert.
Die AI Employees kennenlernenExperimente wie NectarForge, Salon Rota, AImpressions und die Threat-Model-Spiele finden Sie im Lab.
Beschreiben Sie den Workflow, das Risiko oder das Produkt in wenigen Sätzen. Budget und Zeitplan sind optional.
Ich antworte per E-Mail, in der Regel innerhalb eines Werktags.
Wenn es passt, sprechen wir 30 Minuten lang, kostenlos.
Sie erhalten einen schriftlichen Umfang und ein Festhonorar, bevor bezahlte Arbeit beginnt.
