Mythen und Missverständnisse rund um Edge-KI und Security

(Source: Sarawut / stock.adobe.com)

(Source: Sarawut / stock.adobe.com)

Wovon reden wir, wenn wir von Edge-KI sprechen?

Umberto Annino: Von KI-Systemen, die dort arbeiten, wo die Daten entstehen - also im Endgerät, in der Maschine, im Sensor, im Fahrzeug, in der Kamera. "Edge" ist dabei kein abstrakter technischer Bereich, sondern schlicht der Ort der Datenentstehung. Möglich wurde das durch kleinere, komprimierte Modelle und durch spezialisierte Recheneinheiten in Endgeräten. Der heute dominierende Fall ist: Training in der Cloud, Nutzung lokal.

Inwiefern kann man strikt zwischen Edge-KI und Cloud-KI trennen?

Gar nicht, es ist eher ein Kontinuum. Wir unterscheiden im Factsheet acht Stufen, von "Training und Einsatz vollständig in der Cloud" bis "beides auf dem Gerät". Praktisch relevant ist die Trennung zwischen dem Ort der Entwicklung und dem Ort der Nutzung. Und selbst sehr lokale Systeme sind selten wirklich isoliert: Update-Kanäle, Telemetrie und Cloud-Fallbacks bleiben bestehen. Sicherheitstechnisch ist deshalb nicht die Frage "Edge oder Cloud" entscheidend, sondern: Wo liegen Daten, wo liegt das Modell, und wer kontrolliert die Steuerungs- und Update-Pfade?

Umberto Annino, Leiter der Themenplattform Cybersecurity der SATW. (Source: zVg)

Welche Vorteile bietet KI am Edge bei Sicherheit und Datenschutz?

Datenminimierung ist architektonisch verankert, statt organisatorisch nachgereicht: Was das Gerät nicht verlässt, kann unterwegs nicht abgefangen werden. Dazu kommen kurze Reaktionszeiten, Offline-Verfügbarkeit, geringerer Bandbreitenbedarf und weniger Abhängigkeit von ausländischen KI-Service-Providern; in einer Umfrage von 2025 wurde die Cloud-Abhängigkeit als eine der Top-3-Schwächen der Schweiz beurteilt. Wichtig ist die Präzisierung: Der Gewinn betrifft primär die Vertraulichkeit gegenüber Dritten und die Souveränität, nicht die Sicherheit des Systems insgesamt.

Was sollten sich User allerdings bewusst sein in Bezug auf ihre Cybersecurity, wenn sie Edge-KI verwenden?

Dass sich die Verantwortung verschiebt. Bei Cloud-KI trägt ein Anbieter mit eigenem Sicherheitsbetrieb einen erheblichen Teil der Schutzlast, bei Edge-KI liegt sie beim Betreiber des Geräts. Der muss Patches einspielen, physischen Zugriff kontrollieren, Modellversionen nachführen und über die gesamte Gerätelebensdauer handlungsfähig bleiben. Und: Das Gerät wird zum Single Point of Failure. Fällt es aus, ist die KI-Funktion weg, wenn kein Rückfallpfad existiert.

Edge-KI wird häufig mit mehr Datenschutz gleichgesetzt, weil sensible Daten das Gerät nicht verlassen müssen. Ist lokal tatsächlich automatisch sicherer – oder ist das ein gefährliches Missverständnis?

Es ist ein Missverständnis, und zwar ein verbreitetes. "Lokal" heisst: Die Daten fliessen nicht ab. Es heisst nicht: Die Daten sind geschützt. Ein verlorenes Notebook, ein unverschlüsseltes lokales Dateisystem, ein Modell, das Trainingsdaten memorisiert hat, oder eine App, die trotz lokaler Verarbeitung Telemetrie sendet, all das bleibt ungelöst. Privacy by Design ist ein Prozessprinzip über den ganzen Lebenszyklus, nicht ein Nebenprodukt der Rechenortwahl. Datenlokalität ist eine Massnahme, kein Ergebnis. Wer sie als Ergebnis verkauft, baut ein Compliance-Argument, keine Sicherheit.

Wie wirkt sich die Dezentralisierung auf das Risiko aus, manipulierte Daten oder Modelle zu nutzen?

Sie erschwert die Verifikation. Ein zentral gehostetes Modell prüfen Sie an einem Ort; ein verteiltes Modell müssen Sie auf jedem einzelnen Gerät prüfen. Kritisch ist deshalb weniger das einzelne Gerät als der gemeinsame Verteilkanal: Wer den Update-Mechanismus oder die Modell-Lieferkette kompromittiert, erreicht die gesamte Flotte auf einmal. Wo lokal weitertrainiert wird oder föderiertes Lernen im Einsatz ist, kommt der Rückweg dazu, manipulierte lokale Daten wirken auf das globale Modell zurück. Und Korrekturen brauchen im Feld Monate, nicht Minuten.

Welche neuen Angriffsvektoren bestehen bei Edge-KI gegenüber klassischer KI-Nutzung?

Vier, die es in der Cloud so nicht gibt:

• Physischer und Firmware-Zugriff: Debug-Schnittstellen, Speicherauslesung, Manipulation der Boot-Kette, Rollback auf verwundbare Versionen.
• Modellextraktion: Wer die Gewichte aus dem Gerät holt, hat nicht nur das geistige Eigentum, sondern kann anschliessend gezielt Eingaben konstruieren, die das Modell in die Irre führen, aus einem Blackbox- wird ein Whitebox-Problem.
• Seitenkanal- und Fault-Injection-Angriffe auf die Recheneinheit selbst, über Stromverbrauch, elektromagnetische Abstrahlung oder gezielte Störimpulse.
• Angriffe auf der Sensorebene: manipulierte Muster im Sichtfeld einer Kamera, Störsignale gegen Distanzsensoren. Der Angreifer setzt an, bevor die Information digital wird, und keine noch so gute Modellsicherheit hilft gegen einen gefälschten Input.

Dazu kommt ein unterschätzter Punkt: Modelle werden für das Edge komprimiert und quantisiert. Ein Modell, das im Labor robust getestet wurde, ist nach dieser Optimierung nicht zwingend dasselbe System.

Bei Edge-KI liegen Hardware, Sensoren, Daten und KI-Modell physisch nahe beieinander. Welche zusätzlichen Möglichkeiten eröffnet dies einem Angreifer?

Zeit und Wiederholbarkeit. In der Cloud hat ein Angreifer eine ratenlimitierte Schnittstelle und hinterlässt Spuren. Ein Edge-Gerät kann er kaufen, mit nach Hause nehmen und dort beliebig oft und unbeobachtet angreifen, ohne dass irgendjemand ein Log sieht. Was er dabei lernt, gilt für die gesamte Baureihe: Ein Klassenbruch, kein Einzelfall. Zusätzlich sind viele Edge-Geräte physisch schlecht geschützt, weil sie in Feldkästen, Fahrzeugen oder Produktionshallen stehen und nicht in einem zertifizierten Rechenzentrum.

Inwiefern ist die Sicherheit von Edge-KI auch abhängig vom Modell und vom Hersteller des jeweiligen Endgeräts? Was sind die Folgen dieser heterogenen Device-Landschaft?

Sehr stark. Ob es einen Hardware-Vertrauensanker gibt, wie gut die Boot-Kette abgesichert ist, wie lange Firmware-Updates geliefert werden, wie die Treiber- und Toolchain-Kette qualitätsgesichert ist, das entscheidet der Hersteller, nicht der Betreiber. Die Folgen der Heterogenität sind praktischer Natur: kein einheitliches Patchmanagement, oft keine belastbare Stückliste von Software- und Modellkomponenten, sehr unterschiedliche Sicherheitsniveaus im selben Netz. Besonders unangenehm ist der Lebenszyklus-Konflikt: Industrieanlagen laufen 15 bis 20 Jahre, der Herstellersupport oft drei bis fünf. Der EU Cyber Resilience Act wird hier ab Ende 2027 Mindestanforderungen inklusive Supportzeitraum durchsetzen, das ist für Beschaffer die relevantere Entwicklung als das KI-Recht.

Was wäre für Sie ein realistisches Worst-Case-Szenario?

Nicht der spektakuläre Ausfall, der wird bemerkt und behoben. Das realistische Worst Case ist die stille Integritätsverletzung. Beispiel Fabrik: Ein Modell zur Qualitätsprüfung wird über den Update-Kanal so verändert, dass es eine bestimmte Fehlerklasse nicht mehr meldet. Die Anlage läuft weiter, alle Kennzahlen sehen gut aus, und über Wochen gehen fehlerhafte Chargen in den Markt. Bemerkt wird es beim Kunden, nicht im Werk. Übertragen auf kritische Infrastruktur: Eine flächig ausgerollte Anomalieerkennung im Verteilnetz, die zum gewählten Zeitpunkt nicht anschlägt. Der eigentliche Schaden ist nicht der einzelne Vorfall, sondern der Vertrauensverlust in die Entscheidungsgrundlage, man weiss danach nicht mehr, welchen Auswertungen der letzten Monate man noch glauben kann.

Was ist unabdingbar für den sicheren Einsatz von Edge-KI?

Fünf Dinge:

1. Ein Hardware-Vertrauensanker mit abgesicherter Boot-Kette und kryptografisch signierten Modellartefakten.
2. Ein sicherer, rollback-geschützter Update-Mechanismus über die gesamte Gerätelebensdauer, vertraglich zugesichert, nicht bloss technisch möglich.
3. Zero-Trust-Prinzipien nach NIST SP 800-207 statt Perimeterdenken - im industriellen Umfeld ergänzt durch die Zonen- und Kanalsystematik der IEC 62443.
4. Nachvollziehbare Modellherkunft und Tests vor dem Rollout, inklusive gezielter Angriffssimulationen - und zwar am Artefakt, das tatsächlich ausgeliefert wird, nicht am Labormodell.
5. Eine Betriebsorganisation, die klärt, wer patcht, wer überwacht und wer haftet, bis hin zur Ausserbetriebnahme mit Löschung von Modell und Schlüsseln.

Wie erkennt man, dass ein lokales KI-Modell kompromittiert wurde? Braucht es neue Formen von Monitoring?

Das ist heute der schwächste Punkt. Klassische Endpoint-Überwachung existiert für Mikrocontroller und KI-Beschleuniger schlicht nicht. Was funktioniert, ist zweistufig: Erstens die kryptografische Integritätsprüfung von Firmware und Modellartefakt, idealerweise als Fernattestierung. Die beantwortet aber nur, ob das erwartete Modell läuft; nicht, ob es sich richtig verhält. Deshalb zweitens die Überwachung des Modellverhaltens: Verschiebungen in Ausgabe- und Konfidenzverteilungen, definierte Testeingaben mit bekanntem Sollergebnis, Plausibilisierung gegen unabhängige Sensorik.

Völlig neue Disziplinen braucht es dafür nicht, aber neue Messgrössen: Wir überwachen bisher Systemzustände, künftig zusätzlich Modellverhalten. Und ein Zielkonflikt gehört offen ausgesprochen: Je weniger ein Gerät preisgibt, desto besser der Datenschutz, und desto blinder das Security-Monitoring. 

Wie viel Regulierung ist sinnvoll?

Risikobasiert und so wenig wie möglich. Für Hochrisiko-Anwendungen: kritische Infrastruktur, Medizin, Mobilität, biometrische Identifikation; sollten Security-by-Design-Pflichten verbindlich sein. Im übrigen Feld reichen anerkannte Normen und Selbstdeklaration.

Wichtig ist die Einordnung: Vieles ist bereits geregelt oder wird es. Artikel 15 des EU-KI-Gesetzes verlangt Genauigkeit, Robustheit und Cybersicherheit ab Entwurf; der Cyber Resilience Act greift ab Dezember 2027 für vernetzte Produkte; IEC 62443 existiert seit Jahren. Der Bundesrat hat im Februar 2025 einen sektoriellen Ansatz gewählt, mit einer Vernehmlassungsvorlage bis Ende 2026 zur Umsetzung der KI-Konvention des Europarats. Das halte ich für richtig, ein eigenständiges Schweizer KI-Gesetz mit parallelen, aber abweichenden Anforderungen wäre der teuerste denkbare Weg. Regulierung sollte Ergebnisse verlangen: Nachweisbarkeit, Updatefähigkeit, Meldepflicht.

Birgt Regulierung nicht auch immer die Gefahr, dass Schweizer Anbieter im Vergleich zu internationalen benachteiligt werden?

Die Sorge ist verständlich, trifft aber den falschen Punkt. Wer in den EU-Markt liefert, erfüllt AI Act und Cyber Resilience Act ohnehin; dieser Brüssel-Effekt gilt unabhängig davon, was die Schweiz beschliesst. Die Schweiz trägt damit die vollen regulatorischen Pflichten, ohne an deren Ausgestaltung beteiligt gewesen zu sein; das ist der eigentliche Nachteil, nicht die Regulierung als solche.

Das reale Risiko liegt in Doppelspurigkeit und fehlender gegenseitiger Anerkennung von Konformitätsbewertungen. Deshalb: auf internationale Normen abstützen statt eigene Prüfschemata erfinden, und den Aufwand für KMUs proportional halten. Und ein Gegenargument, das man ernst nehmen sollte: Nachweisbare Sicherheit ist in Domänen wie Medizintechnik, Industrie oder Finanzplatz ein Verkaufsargument. "High Risk, High Trust" ist eine Positionierung, die zur Schweiz passt; vorausgesetzt, sie ist belegt und nicht behauptet.

Die SATW fordert im Factsheet zu Edge-KI, dass Hochrisiko-Systeme (bspw. im Rahmen kritischer Infrastruktur) zum Security-by-Design-Grundsatz verpflichtet werden sollten. Was müsste ein Hersteller konkret anders machen, wenn er diesen Grundsatz ernst nimmt – vom Training des Modells bis zum Gerät im Feld?

Sicherheitsanforderungen werden Teil der Produktspezifikation, nicht der Abnahmeprüfung. Konkret über den Lebenszyklus:

• Vor dem Design: Bedrohungsmodellierung, die den physischen Zugriff auf das Gerät als Normalfall annimmt, nicht als Ausnahme.
• Training: Herkunft der Trainingsdaten dokumentiert und integritätsgesichert; Prüfung auf Datenvergiftung.
• Modellartefakt: signiert, versioniert, mit einer Stückliste der Modell- und Softwarekomponenten.
• Vor dem Rollout: Robustheitstests und gezielte Angriffssimulationen, und zwar am komprimierten, ausgelieferten Modell, weil Quantisierung das Verhalten verändert.
• Gerät: Vertrauensanker in Hardware, abgesicherte Boot-Kette, Schlüssel in einem geschützten Element, Debug-Schnittstellen in der Produktion deaktiviert. Vertrauenswürdige Ausführungsumgebungen gehören dazu; mit dem Hinweis, dass sie primär die CPU-Domäne schützen und gegen Seitenkanalangriffe kein Allheilmittel sind.
• Im Feld: sicherer Update-Kanal mit Rückrollschutz, zugesagte Supportdauer, ein Prozess für Schwachstellenmeldungen und ein definiertes Lebensende inklusive Löschung von Modell und Schlüsseln.

Das ist kein KI-Spezifikum. Es ist Produktsicherheit, wie sie in der Medizintechnik und anderen Bereichen seit Jahren üblich ist; nur auf Modelle ausgeweitet.

Welche Chancen eröffnen sich für die Schweizer Forschung?

Die offenen Fragen sind erfreulich konkret: Vertrauenswürdige Ausführungsumgebungen schützen heute vor allem Prozessoren, nicht die KI-Beschleuniger, auf denen die Inferenz tatsächlich läuft, das ist eine echte Lücke. Dazu kommen effiziente Attestierung auf ressourcenarmen Geräten, Robustheit nach Modellkompression, Qualitätssicherung kleiner Modelle, seitenkanalresistente Inferenz und die Sicherheit föderierten Lernens.

Die Schweiz hat die Bausteine: Forschung zu Edge-KI bei ETH, EPFL, CSEM und ZHAW, Beteiligungen an Konsortien wie EdgeAI-Trust und CONVOLVE, eine aktive Cybersecurity-Szene. Der grössere Hebel liegt aber im Transfer: Prüf-, Test- und Zertifizierungsinfrastruktur für Edge-KI-Sicherheit. Dort zählen Neutralität, technische Glaubwürdigkeit und industrielle Anwendungsnähe; und genau das hat die Schweiz.

Welchen Beitrag kann die Schweizer Privatwirtschaft leisten, um die Nutzung von Edge-KI sicher(er) zu machen?

Vier Dinge, die ohne Gesetzgeber funktionieren:

Erstens Normen proaktiv umsetzen, statt auf Vorschriften zu warten: Zero Trust nach NIST SP 800-207, IEC 62443 im industriellen Umfeld, ISO/IEC 27001 und 42001 für die Managementsysteme. Zweitens, und das ist der unterschätzte Hebel: Beschaffung. Wer Sicherheitsanforderungen, Komponentenstücklisten, Attestierbarkeit und Supportdauer vertraglich fixiert, diszipliniert Hersteller schneller als jede Regulierung. Drittens Angriffssimulationen vor dem Produktivgang etablieren, statt sie als Kür zu behandeln. Viertens Erfahrungsaustausch über Branchengrenzen hinweg, weil die Angriffsmuster dieselben sind.

Und die Voraussetzung für alles: Fachkräfte, die Modelle, eingebettete Systeme und Sicherheit zusammen denken können. Der Engpass bei Edge-KI sind nicht nur die Chips, es sind vor allem die Menschen.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.

Für die verschiedenen Newsletter der SATW können Sie sich hier anmelden. "SATW News" informiert allgemein über die Aktivitäten der SATW und "MINT" fokussiert sich auf das Themengebiet Nachwuchsförderung. Beide werden auf Deutsch und Französisch angeboten.

Alle weiteren gemeinsamen Beiträge von SwissCybersecurity.net und der SATW finden Sie hier.