Die Beschaffung von KI-Software im B2B-Umfeld gleicht einem Balanceakt: Einerseits versprechen generative Modelle und KI-Agenten enorme Effizienzgewinne, andererseits lauern erhebliche rechtliche, datenschutzrechtliche und sicherheitstechnische Risiken. Wer als IT-Einkauf, Enterprise Architect, CISO oder Geschäftsführer SaaS-KI einführt, muss sicherstellen, dass Anbieter nicht nur funktional überzeugen, sondern auch belastbare Zusagen zu Datensouveränität, Training-Opt-Out, SLAs und Penetration Testing schwarz auf weiß liefern. Der folgende 10-Punkte-Kriterienkatalog dient als praxisnaher Prüfleitfaden für die Beschaffung – von der ersten Anfrage bis zur Vertragsunterzeichnung.
Warum ein strukturierter Kriterienkatalog unverzichtbar ist
Die regulatorischen Anforderungen an KI-Systeme steigen rasant. Das BSI hat mit seinem Kriterienkatalog für Generative KI einen Referenzrahmen geschaffen, der Aspekte wie Datenminimierung, Nachvollziehbarkeit und Sicherheit adressiert. Gleichzeitig verlangt die NIS-2-Richtlinie von vielen Unternehmen ein systematisches Lieferanten-Risikomanagement, und die DSGVO setzt bei Auftragsverarbeitung klare Grenzen. Ein KI-Tool-Evaluation-Kriterienkatalog ist daher kein Nice-to-have, sondern ein zentrales Steuerungsinstrument, um Haftungsrisiken zu minimieren und Auditfestigkeit herzustellen.
Der 10-Punkte-Kriterienkatalog für die B2B-KI-Beschaffung
Die folgenden zehn Kriterien sollten in jeder B2B-KI-Beschaffungs-Checkliste verankert und – wo möglich – als vertragliche Zusagen im AV-Vertrag und SLA fixiert werden.
| Nr. | Kriterium | Vertragliche Zusage / Nachweis | Relevanz für Audits |
|---|---|---|---|
| 1 | Training-Ausschluss (Opt-Out) | Schriftliche Garantie im Hauptvertrag, dass Kundeneingaben niemals für Modell-Training oder Fine-Tuning verwendet werden. | DSGVO, ISO 27001 |
| 2 | Serverstandort & Datensouveränität | Verarbeitung und Speicherung ausschließlich in EU/EWR oder auf nachweisbaren Sovereign-Clouds. | DSGVO, NIS-2 |
| 3 | Zero Data Retention (ZDR) | Bereitstellung ephemerer Endpunkte ohne persistente Zwischenspeicherung von Prompts und Vektoren. | DSGVO, ISO 27001 |
| 4 | AVV nach Art. 28 DSGVO | Vollständiger Auftragsverarbeitungsvertrag inkl. Benennung aller Unterauftragsverarbeiter und Sicherheitsgarantien. | DSGVO |
| 5 | Unabhängiger Sicherheitsnachweis (VAPT / SOC 2 / ISO 27001) | Vorlage aktueller Penetration-Testing-Berichte und Zertifizierungen durch unabhängige Dritte. | NIS-2, ISO 27001 |
| 6 | Schutz vor Prompt Injections & Jailbreaks | Nachweis integrierter Guardrails und Input-Validation-Mechanismen gegen böswillige Prompt-Manipulationen. | NIS-2, ISO 27001 |
| 7 | Explizite SLAs & Verfügbarkeitsgarantien | Definierte Reaktionszeiten, Ausfallsicherheit (mind. 99,9 %) und geregelte Entschädigungen bei Downtimes. | NIS-2, ISO 27001 |
| 8 | Rollen- und Rechtekonzept (RBAC) | Granulare Zugriffskontrollen und Multi-Faktor-Authentifizierung (MFA / SSO via SAML/OIDC). | ISO 27001, NIS-2 |
| 9 | Datenexport & Exit-Strategie | Vollständiger Export von Unternehmensdaten und Feintuning-Adaptern in offenen Standardformaten bei Vertragsende ohne Vendor-Lock-in. | DSGVO, ISO 27001 |
| 10 | Haftung & Freistellung bei Rechtsverletzungen (IP Indemnification) | Schutz des Kunden vor Urheberrechts- und Patentklagen bei Verwendung generierter Ausgaben. | DSGVO, NIS-2 |
Die zehn Kriterien im Detail: Was Anbieter schwarz auf weiß garantieren müssen
1. Training-Ausschluss (Opt-Out)
Viele KI-Anbieter nutzen Kundendaten standardmäßig zur Modellverbesserung. Für Unternehmen ist dies ein No-Go: Geschäftsgeheimnisse, personenbezogene Daten oder interne Strategien dürfen nicht in Trainingsdaten einfließen. Verlangen Sie eine ausdrückliche schriftliche Garantie im Hauptvertrag – nicht nur in den AGB –, dass sämtliche Eingaben (Prompts, Uploads, Interaktionen) weder für Modell-Training noch für Fine-Tuning verwendet werden. Diese Zusage muss auch für Unterauftragsverarbeiter gelten.
2. Serverstandort & Datensouveränität
Die Verarbeitung und Speicherung muss innerhalb der EU/EWR erfolgen oder auf einer nachweisbar isolierten Sovereign-Cloud. Achten Sie auf konkrete Angaben zu Rechenzentrumsstandorten und auf Zertifizierungen wie C5 (BSI) oder vergleichbare. Bei US-Anbietern ist besondere Vorsicht geboten: Der US CLOUD Act kann Zugriffe auf Daten erzwingen, selbst wenn diese in der EU gespeichert sind. Fordern Sie eine rechtsverbindliche Erklärung, dass keine Daten an Drittstaaten ohne angemessene Garantien übermittelt werden.
3. Zero Data Retention (ZDR)
Zero Data Retention bedeutet, dass Prompts und daraus abgeleitete Vektoren nicht persistent gespeichert werden. Der Anbieter stellt ephemere Endpunkte bereit, die Daten nur im Arbeitsspeicher halten und nach der Verarbeitung sofort löschen. Dies minimiert das Risiko von Datenlecks und erleichtert die DSGVO-Compliance erheblich. Lassen Sie sich die ZDR-Funktion vertraglich zusichern und durch technische Dokumentation belegen.
4. AVV nach Art. 28 DSGVO
Ein vollständiger Auftragsverarbeitungsvertrag (AVV) ist Pflicht. Er muss alle Unterauftragsverarbeiter (Sub-processors) benennen, die Sicherheitsgarantien nach Art. 32 DSGVO spezifizieren und dem Verantwortlichen umfassende Kontrollrechte einräumen. Prüfen Sie, ob der AVV Klauseln zu Audit-Rechten, Meldepflichten bei Datenschutzverletzungen und Löschfristen enthält. Fehlt ein AVV oder ist er unvollständig, ist die Beschaffung zu stoppen.
5. Unabhängiger Sicherheitsnachweis (VAPT / SOC 2 / ISO 27001)
Fordern Sie aktuelle Penetration-Testing-Berichte (nicht älter als 12 Monate) und Zertifizierungen wie ISO 27001 oder SOC 2 Type II an. Diese Nachweise müssen von unabhängigen Dritten ausgestellt sein. Ein internes Sicherheitsaudit des Anbieters reicht nicht aus. Idealerweise liegt ein VAPT-Bericht vor, der die OWASP-Top-10-Risiken und spezifische KI-Angriffsvektoren abdeckt. Weitere Informationen zu VAPT-Methoden finden Sie auf unserer VAPT-Lösungsseite.
6. Schutz vor Prompt Injections & Jailbreaks
KI-Systeme sind anfällig für Prompt-Injection-Angriffe, bei denen Angreifer durch geschickt formulierte Eingaben Sicherheitsmechanismen umgehen. Der Anbieter muss nachweisen, dass integrierte Guardrails, Input-Validation und Output-Filter vorhanden sind. Fragen Sie nach konkreten Testberichten zu Red-Teaming-Aktivitäten und ob diese regelmäßig durchgeführt werden. Die NIS-2-Richtlinie verlangt von kritischen Infrastrukturen entsprechende Schutzmaßnahmen – lassen Sie sich die Wirksamkeit der Guardrails vertraglich zusichern.
7. Explizite SLAs & Verfügbarkeitsgarantien
Definieren Sie Service Level Agreements (SLAs) mit klaren Reaktionszeiten (z. B. 4 Stunden für kritische Störungen), einer garantierten Verfügbarkeit von mindestens 99,9 % und Regelungen zu Entschädigungen bei Nichterfüllung. Achten Sie darauf, dass die SLAs auch für KI-spezifische Komponenten wie Inferenz-Endpunkte gelten. Ein SLA ohne Sanktionsmechanismen ist wertlos.
8. Rollen- und Rechtekonzept (RBAC)
Granulare Zugriffskontrollen (Role-Based Access Control) sind essenziell, um sicherzustellen, dass nur autorisierte Mitarbeiter auf KI-Funktionen und Daten zugreifen können. Fordern Sie Multi-Faktor-Authentifizierung (MFA) und Single-Sign-On (SSO) via SAML/OIDC. Der Anbieter muss darlegen, wie Rollen definiert, überprüft und entzogen werden. Dies ist auch für ISO 27001-Audits relevant.
9. Datenexport & Exit-Strategie
Vermeiden Sie Vendor-Lock-in: Der Anbieter muss garantieren, dass Sie bei Vertragsende alle Ihre Daten – einschließlich Feintuning-Adaptern und Konfigurationen – in offenen Standardformaten (z. B. JSON, CSV, ONNX) exportieren können. Lassen Sie sich den Exportprozess und die dafür benötigte Zeit vertraglich zusichern. Eine fehlende Exit-Strategie kann bei einem Anbieterwechsel zu erheblichem Aufwand und Datenverlust führen.
10. Haftung & Freistellung bei Rechtsverletzungen (IP Indemnification)
KI-generierte Inhalte können Urheberrechte oder Patente Dritter verletzen. Der Anbieter sollte eine Freistellungserklärung (Indemnification) abgeben, die Sie von Haftungsansprüchen Dritter freistellt, die aus der Nutzung der KI-Ausgaben entstehen. Prüfen Sie die Bedingungen genau: Oft ist die Freistellung auf Fälle beschränkt, in denen der Kunde die Nutzungsbedingungen eingehalten hat. Eine solide IP-Indemnification ist ein starkes Verkaufsargument für KI-Software im B2B.
Praxisbeispiel: So besteht ein mittelständischer Maschinenbauer ein NIS-2-Audit
Ein Maschinenbauunternehmen mit 800 Mitarbeitern führte einen KI-basierten Kundenservice-Assistenten ein. Vor der Vertragsunterzeichnung forderte das Unternehmen den 10-Punkte-Katalog an. Der Anbieter konnte zunächst keinen aktuellen Penetration-Testing-Bericht vorlegen und verweigerte die ZDR-Option. Das Unternehmen verhandelte nach: Der Anbieter ließ ein unabhängiges VAPT durchführen und implementierte ZDR. Im AVV wurde der Training-Opt-Out explizit aufgenommen. Im anschließenden NIS-2-Audit konnte das Unternehmen die erforderlichen Nachweise lückenlos vorlegen – die Beschaffung wurde nicht beanstandet. Ohne den Kriterienkatalog wäre das Audit wahrscheinlich mit Auflagen versehen worden.
Checkliste für den IT-Einkauf: Fragen, die Sie jedem KI-Anbieter stellen sollten
- Können Sie schriftlich garantieren, dass unsere Daten nicht für Modell-Training verwendet werden?
- Wo genau werden unsere Daten verarbeitet und gespeichert? Bitte nennen Sie die Rechenzentren.
- Bieten Sie Zero Data Retention an? Wie wird die Löschung technisch umgesetzt?
- Stellen Sie uns einen vollständigen AVV inklusive aller Unterauftragsverarbeiter zur Verfügung?
- Wann wurde zuletzt ein Penetrationstest durchgeführt? Können Sie den Bericht vorlegen?
- Wie schützen Sie gegen Prompt Injections und Jailbreaks? Gibt es Red-Teaming-Berichte?
- Wie sind Ihre SLAs ausgestaltet? Welche Entschädigungen sind bei Ausfällen vorgesehen?
- Unterstützen Sie MFA und SSO? Wie werden Rollen und Berechtigungen verwaltet?
- Wie können wir bei Vertragsende alle Daten exportieren? In welchen Formaten?
- Übernehmen Sie die Haftung bei Urheberrechtsverletzungen durch KI-Ausgaben?
Unterstützung durch externe Sicherheitsaudits
Die formale Prüfung externer Softwarelieferanten nach NIS-2 und DSGVO ist komplex. Unsere VAPT-Experten unterstützen Sie dabei, die Sicherheitsnachweise der Anbieter zu bewerten, Penetrationstests zu veranlassen und die Ergebnisse in Ihre Beschaffungsentscheidung einfließen zu lassen. Auch bei der Erstellung eines AVV oder der Prüfung von SLAs stehen wir zur Seite. Für eine erste Standortbestimmung nutzen Sie unseren KI-Readiness-Check.
Häufig gestellte Fragen (FAQ & Schnellübersicht)
Ist ein KI-Anbieter ohne AVV DSGVO-konform?
Nein. Gemäß Art. 28 DSGVO ist ein Auftragsverarbeitungsvertrag (AVV) zwingend erforderlich, wenn ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet. Fehlt ein AVV, handelt es sich um einen DSGVO-Verstoß, der mit Bußgeldern geahndet werden kann. Zudem ist der Anbieter ohne AVV nicht weisungsgebunden, was die Kontrolle über Ihre Daten gefährdet.
Was kostet ein durchschnittliches VAPT für KI-Software im Mittelstand?
Die Kosten für ein Penetration-Testing (VAPT) variieren je nach Umfang und Komplexität. Für eine einzelne KI-Anwendung im Mittelstand liegen die Preise typischerweise zwischen 8.000 und 25.000 Euro. Ein umfassendes Audit inklusive Red-Teaming kann höher ausfallen. Viele Anbieter bieten entsprechende Tests als Teil ihrer Zertifizierungsbemühungen an – lassen Sie sich die Kosten und den Umfang transparent darlegen.
Wer haftet bei einem Datenschutzverstoß durch KI-Software?
Die Haftung richtet sich nach der DSGVO und dem AVV. Grundsätzlich haftet der Verantwortliche (Ihr Unternehmen) gegenüber der Aufsichtsbehörde und betroffenen Personen. Der Auftragsverarbeiter (KI-Anbieter) haftet nur, wenn er seine Pflichten aus dem AVV verletzt. Deshalb ist es entscheidend, im AVV klare Haftungsregelungen und Freistellungen zu vereinbaren. Bei NIS-2 kommt eine verschärfte Haftung für Lieferkettenrisiken hinzu.
Wie oft sollte ein KI-Anbieter Penetrationstests durchführen lassen?
Mindestens einmal jährlich sowie bei wesentlichen Änderungen an der Software. Die NIS-2-Richtlinie fordert von kritischen Infrastrukturen regelmäßige Sicherheitsüberprüfungen. Ein aktueller VAPT-Bericht (nicht älter als 12 Monate) ist ein starkes Indiz für ein funktionierendes Sicherheitsmanagement. Fordern Sie zudem Nachweise über kontinuierliche Schwachstellen-Scans.
Fazit: Mit dem 10-Punkte-Check zur auditfesten KI-Beschaffung
Der Einkauf von KI-Software im B2B erfordert mehr als funktionale Bewertung. Ein strukturierter Kriterienkatalog, der Datensouveränität, Training-Opt-Out, AVV, VAPT und SLAs abdeckt, ist der Schlüssel zu einer rechtssicheren und auditfesten Beschaffung. Nutzen Sie die zehn Punkte als Verhandlungsgrundlage und lassen Sie sich die Zusagen schriftlich geben. Externe Expertise, etwa durch VAPT-Audits, hilft, die Angaben der Anbieter zu verifizieren. Starten Sie noch heute mit dem Readiness-Check und machen Sie Ihre KI-Beschaffung zukunftssicher.