Neuer OWASP-Crosswalk verknüpft KI-Risiken mit Compliance-Anforderungen

Sichere Implementierung von KI: Der neue OWASP-Crosswalk als Brücke zur Compliance

Die rapide Entwicklung und Integration von Künstlicher Intelligenz (KI) in Unternehmensprozesse birgt sowohl erhebliche Chancen als auch neue Herausforderungen im Bereich der IT-Sicherheit und Compliance. Insbesondere generative KI-Anwendungen, wie Large Language Models (LLMs) und agentische Systeme, versprechen Effizienzsteigerungen und innovative Geschäftsmodelle. Gleichzeitig entstehen jedoch komplexe Risikofelder, die eine präzise Absicherung und Nachweisbarkeit erfordern. Das Open Web Application Security Project (OWASP) hat auf diese Entwicklung reagiert und mit der Veröffentlichung eines "Crosswalks" eine neue, praxisorientierte Hilfestellung für Unternehmen geschaffen.

Die Herausforderung der KI-Sicherheit und Compliance

Organisationen wie OWASP stellen seit Langem Listen zu den gravierendsten Software-Schwachstellen und entsprechenden Gegenmaßnahmen bereit. Die bekannten OWASP Top 10 Listen für LLM-Anwendungen und agentische Systeme sind hierfür prominente Beispiele. Diese Listen identifizieren Risiken und bieten erste Lösungsansätze. Eine zentrale Lücke bestand bisher jedoch in der direkten Verknüpfung dieser technischen Risiken und deren Behebungen mit den konkreten Anforderungen aus etablierten Standards, Frameworks und Regulierungen. Unternehmen waren oft gezwungen, diese Übersetzungsarbeit manuell und mit erheblichem Aufwand zu leisten, insbesondere im Hinblick auf Audits und die Nachweispflicht.

Der OWASP GenAI Security Project "Crosswalk"

Am 1. September wurde ein entscheidendes Werkzeug in diesem Kontext vom OWASP GenAI Security Project veröffentlicht: der sogenannte "Crosswalk". Dieses Open-Source-Projekt wurde konzipiert, um als Bindeglied zwischen den identifizierten technischen Sicherheitsmaßnahmen und den vielschichtigen Compliance-Anforderungen zu fungieren. Der "Crosswalk" verknüpft 51 GenAI-Risiken aus vier verschiedenen OWASP-Quelllisten mit den Kontrollen aus insgesamt 25 Regelwerken. Zu diesen Regelwerken zählen unter anderem international anerkannte Standards wie NIST und ISO, spezifische branchenbezogene Vorgaben wie SOC 2 und DORA, sowie aufkommende Regulierungen wie die EU-KI-Verordnung.

Praktischer Nutzen für Unternehmen

Die primäre Stärke des "Crosswalks" liegt nicht in der Definition neuer Sicherheitsmaßnahmen, sondern in der Standardisierung und Vereinfachung der Zuordnung bestehender Risiken zu den relevanten Kontrollanforderungen. Diese bislang oft manuelle und zeitintensive Aufgabe wird durch das Tool erheblich erleichtert. Insbesondere in Audit-Situationen, in denen Unternehmen die Wirksamkeit ihrer Sicherheitsmaßnahmen belegen müssen, bietet der "Crosswalk" einen klaren Vorteil.

Stellen Sie sich vor, ein Unternehmen implementiert Filter oder Rate Limits für seine LLM-Anwendungen, um Risiken zu mindern. Im Rahmen eines Audits muss dann nachgewiesen werden, welche spezifischen Anforderungen des internen Kontrollkatalogs diese Maßnahmen abdecken. Der "Crosswalk" liefert hierfür die notwendigen Verknüpfungen und zeigt auf, welche Controls aus den hinterlegten Regelwerken zu den jeweiligen Risiken passen. Dies kann den Aufwand, Zuordnungen in Tabellen zusammenzutragen, maßgeblich reduzieren.

Identifikation von Sicherheitslücken und strategische Planung

Ein weiterer Vorteil des "Crosswalks" ist die Möglichkeit, Lücken im bestehenden Kontrollsystem sichtbar zu machen. Durch die Auswahl der im Unternehmen eingesetzten Regelwerke in der zugehörigen Weboberfläche können Sicherheits- und Compliance-Teams schnell erkennen, welche GenAI-Risiken bereits abgedeckt sind und wo noch Handlungsbedarf besteht. Dies ermöglicht eine gezielte Konzentration auf die Risiken und Kontrollen, für die das vorhandene System noch keine ausreichende Abdeckung bietet. Ergebnisse von Prüfwerkzeugen können zur Validierung hochgeladen werden, was die Effizienz der Analyse weiter steigert.

Wichtige Hinweise und Einschränkungen

Es ist wichtig zu betonen, dass der "Crosswalk" keine offizielle Zertifizierung darstellt und auch kein verbindlicher Prüfmaßstab ist. Die enthaltenen Zuordnungen sind fachliche Vorschläge, die Unternehmen für ihren spezifischen Anwendungsfall prüfen und gegebenenfalls anpassen oder ergänzen müssen. Das Repository weist zudem darauf hin, dass die Mappings für bestimmte Bereiche, wie die Agentic Skills Top 10, sich noch im Entwurfsstadium befinden.

Auch bei den verwendeten Regelwerken ist ein genauer Blick auf die hinterlegten Versionen erforderlich, da sich einzelne Mappings auf Entwurfsfassungen oder ältere Ausgaben von Standards beziehen können. Bei der Nutzung des "Crosswalks" als Audit-Grundlage sollten Unternehmen daher stets die maßgebliche Fassung des jeweiligen Regelwerks prüfen und die Auswahl der Kontrollen nachvollziehbar dokumentieren.

Fazit

Der neue "Crosswalk" des OWASP GenAI Security Projects stellt eine wertvolle Ressource für Unternehmen dar, die generative KI-Anwendungen sicher und compliant einsetzen möchten. Er schließt eine wichtige Lücke zwischen technischen Sicherheitsrisiken und der notwendigen compliance-gerechten Dokumentation. Für Teams an der Schnittstelle von Security und Compliance vereinfacht er eine Aufgabe, die bislang oft in Eigenregie und mit hohem manuellem Aufwand bewältigt werden musste, und trägt somit zu einer transparenteren und nachvollziehbareren KI-Sicherheitsstrategie bei.

Bibliography - heise online. (2026, September 9). KI absichern und belegen: OWASP veröffentlicht neue Hilfe. Retrieved from https://www.heise.de/news/Neue-OWASP-Hilfe-fuer-sichere-KI-im-Unternehmen-11446620.html - NG-IT in Hagen. (2026, September 9). Neue OWASP-Hilfe für sichere KI im Unternehmen. Retrieved from https://www.ng-it.de/neue-owasp-hilfe-fuer-sichere-ki-im-unternehmen/ - finanzen.at. (2026, September 9). Neue OWASP-Hilfe für sichere KI im Unternehmen. Retrieved from https://www.finanzen.at/nachrichten/aktien/neue-owasp-hilfe-fuer-sichere-ki-im-unternehmen-15925427 - IHK. (n.d.). OWASP veröffentlicht praxisnahe Checkliste für Unternehmen. Retrieved from https://www.ihk.de/schwaben/produktmarken/digitalisierung/kuenstliche-intelligenz/neuer-inhalt-7055102 - Computerwoche. (2024, July 4). GenAI-Security als Checkliste. Retrieved from https://www.computerwoche.de/article/3493126/genai-security-als-checkliste.html - CIO DE. (2025, November 10). GenAI-Security als Checkliste. Retrieved from https://www.cio.de/article/4072042/genai-security-als-checkliste-2.html - OWASPGenAIProject Editor. (2025, March 12). die OWASP Top 10 für LLM & Generative KI (2025). Retrieved from https://genai.owasp.org/resource/die-owasp-top-10-fur-llm-generative-ki-2025/ - gtm-Kiran. (2025, August 5). OWASP Gen AI Security Project: Home. Retrieved from https://genai.owasp.org/ - heise online. (2026, August 18). OWASP Top 10 für KI-Anwendungen: Risiken mit Daten belegt. Retrieved from https://www.heise.de/news/OWASP-Top-10-fuer-KI-Anwendungen-Risiken-mit-Daten-belegt-11416248.html - heiseonline. (2026, September 9). KI absichern und belegen: OWASP veröffentlicht neue Hilfe - IT | Datenschutz Nachrichten. Retrieved from https://de.headtopics.com/news/ki-absichern-und-belegen-owasp-veroffentlicht-neue-hilfe-87564128