Kurz gesagt: Ein Retrieval-Augmented-Generation-System (RAG) muss die Berechtigung der anfragenden Person prüfen, bevor ein Textabschnitt das Modell erreicht. Eine Filterung erst in der Antwort ist zu spät: Ein unberechtigter Auszug kann bereits im Prompt, im Trace oder in einem Provider-Protokoll gelandet sein.
Für eine Unternehmenswissensbasis ist die minimale Produktionsgrenze klar: Identität und Mandantenkontext begleiten jede Anfrage; das Retrieval erzwingt Dokument- und Chunk-Policies; der Prompt enthält nur freigegebene und erforderliche Inhalte; jede Entscheidung ist nachvollziehbar protokolliert. Das ist eine technische Kontrolle, keine Annahme, dass sich ein Modell schon korrekt verhalten werde.
Das Bedrohungsmodell: Retrieval ist ein Datenzugriffspfad
RAG verändert den Datenpfad einer Anwendung. Eine Frage wird eingebettet, mit einem Index abgeglichen und ausgewählte Passagen werden an ein Modell gesendet. Durchsucht die Vektorsuche einen globalen Index und erfolgt die Berechtigungsprüfung erst danach, kann die Kandidatenmenge unzulässige Inhalte enthalten. Prompt Injection schafft ein zweites Risiko: Nicht vertrauenswürdiger Text in einem Dokument kann versuchen, Modellinstruktionen zu beeinflussen. OWASP führt Prompt Injection und die Offenlegung sensibler Informationen als zentrale Risiken von LLM-Anwendungen auf.
Behandeln Sie Berechtigungen nicht als Metadaten der Benutzeroberfläche, sondern als Query-Constraint. Der Retrieval-Service und nicht das Modell entscheidet, ob ein Principal ein Dokument, eine Version oder einen Chunk abrufen darf.
Referenzarchitektur für den Produktivbetrieb
1. Authentifizieren Sie die Anfrage und lösen Sie Claims auf: Benutzer-ID, Mandant, Gruppen, Rolle, Datenregion und Zweck. 2. Erzeugen Sie ein kurzlebiges Retrieval-Token, das der Policy-Service signiert. 3. Fragen Sie einen Namespace oder Filter ab, der aus diesen Claims abgeleitet ist. 4. Laden Sie freigegebene Quelldatensätze aus dem führenden System. 5. Schwärzen oder transformieren Sie sensible Felder vor dem Prompt-Aufbau. 6. Generieren Sie Antworten mit Quellenangaben. 7. Schreiben Sie ein unveränderbares Audit-Ereignis für Entscheidung, Quellen, Policy-Version und Ergebnis.
Nutzen Sie den Vektorindex zur Auffindung, nicht als Berechtigungsinstanz. Speichern Sie stabile Quell-IDs, Klassifikation und ACL-Referenzen je Chunk und autorisieren Sie beim Laden erneut. Das erzeugt einen zusätzlichen Lookup und kann Latenz erhöhen, verhindert jedoch, dass veraltete Indexmetadaten faktisch die Zugriffskontrolle ersetzen.
Wo welche Kontrolle durchgesetzt wird
| Kontrolle | Durchsetzung | Zweck | Fehler ohne Kontrolle |
|---|---|---|---|
| Mandantentrennung | Index-Namespace plus serverseitiger Filter | verhindert mandantenfremde Kandidaten | plausibel wirkende, aber fremde Antwort |
| Dokument- und Gruppen-ACL | Retrieval-Query und Quellabruf | wendet effektive Rechte an | Umgehung über reine UI-Berechtigungen |
| Feldschwärzung | Transformation vor Prompt-Aufbau | minimiert sensible Daten | PII oder Vertragsdetails erreichen das Modell |
| Prompt-Injection-Schutz | Quarantäne beim Ingest, Herkunftslabels, Tool-Allowlist | Dokumente sind keine Instruktionen | Retrieval-Text verändert Systemverhalten |
| Nachvollziehbarkeit | append-only Entscheidungsereignis | ermöglicht Untersuchung und Verbesserung | kein Beleg über offengelegte Daten |
Schwärzung: Nutzen erhalten, Rohdaten nicht senden
Schwärzung ersetzt keine Autorisierung. Setzen Sie sie nach der Berechtigungsprüfung ein, um Daten beim Downstream-Transfer zu minimieren. Definieren Sie Policies nach Datenklasse und Zweck: Entfernen Sie persönliche Identifikatoren in einem Support-Assistenten; ersetzen Sie Kontonummern durch stabile Tokens, wenn Korrelation nötig ist; erhalten Sie für berechtigte Personen einen kontrollierten Link zur Quelle. Testen Sie mehrsprachige Texte, Tabellen und OCR-Ausgaben – reguläre Ausdrücke reichen nicht für alle Formate.
Der Prompt-Aufbau sollte deterministisch sein. Protokollieren Sie Quell-IDs und Policy-Entscheidungen, aber speichern Sie vollständige Prompts oder rohe Passagen nicht in allgemeinen Anwendungslogs. Sichern Sie Diagnosetraces separat ab und definieren Sie kurze Aufbewahrungsfristen.
Audit-Logs, die im Vorfall helfen
Ein Audit-Ereignis muss fünf Fragen beantworten: Wer fragte an; unter welchem Mandanten, welcher Gruppe und welchem Zweck; welche Policy-Version entschied; welche Quell-IDs waren zulässig und wurden genutzt; welches Ergebnis trat ein. Erfassen Sie Request-ID, Retrieval-Zeitpunkt, Index-Version, Schwärzungsaktion, Modell-Deployment und Tool-Aufrufe. Hashes können Integrität belegen, ersetzen aber weder Aufbewahrung, Zugriffskontrolle noch rechtliche Nachweispflichten.
Das NIST AI RMF behandelt Risikomanagement als kontinuierliche und dokumentierte Tätigkeit. In der Praxis sollten Sie erlaubte und abgewiesene Retrievals stichprobenartig prüfen, ungewöhnlich breite Ergebnismengen überwachen und einen Entzug von Rechten üben: Berechtigung für Benutzer oder Dokument entfernen, gecachte Retrieval-Tokens invalidieren und bestätigen, dass die nächste Anfrage keine alten Chunks mehr findet.
Implementierungscheckliste
• Erzwingen Sie Mandanten- und ACL-Filter serverseitig, bevor Retrieval-Ergebnisse zurückgegeben werden.
• Prüfen Sie die Berechtigung gegen das führende System erneut, bevor Sie den Prompt aufbauen.
• Versionieren Sie Policies, Chunking und Embedding-Modelle; verknüpfen Sie jede Antwort mit Quell-IDs.
• Schwärzen Sie nach Datenklasse und Zweck; testen Sie False Negatives mit repräsentativen Dokumenten.
• Behandeln Sie abgerufene Inhalte als nicht vertrauenswürdige Daten; sie dürfen weder Systeminstruktionen noch Tool-Rechte verändern.
• Protokollieren Sie Entscheidungen und Identifikatoren, schützen Sie Traces und üben Sie Rechteentzug und Incident Review.
Grenzen und Zielkonflikte
Feingranulare Prüfungen erhöhen Retrieval-Latenz und Betriebsaufwand. Vorberechnete ACL-Filter können schnell sein, veralten jedoch bei Änderungen der Gruppenmitgliedschaft; Prüfungen gegen das führende System sind belastbarer, kosten aber mehr. Legen Sie explizite Aktualitätsziele fest, cachen Sie Autorisierungsentscheidungen nur kurz und verweigern Sie bei nicht verfügbarer Policy-Auswertung den Zugriff auf sensible Sammlungen. Dieser Beitrag ist technische Orientierung und keine Rechtsberatung; Anforderungen an Aufbewahrung, Beschäftigtendaten und Branchenspezifika sollten qualifiziert geprüft werden.
Quellen
OWASP GenAI Security Project, Top 10 für LLM-Anwendungen: https://genai.owasp.org/llm-top-10/
NIST, AI Risk Management Framework: https://www.nist.gov/itl/ai-risk-management-framework
Microsoft, Content Filtering und Hinweise zur Anwendungsarchitektur: https://learn.microsoft.com/en-us/azure/ai-foundry/openai/concepts/content-filter
Bauen Sie die Grenze vor der Skalierung des Assistenten
Wenn Ihr Wissensassistent vom Pilotbetrieb in die Produktion geht, beginnen Sie mit einem Review des Retrieval-Pfads: Identity Claims, ACL-Weitergabe, Schwärzungsgrenzen, Trace-Zugriff und ein Test für Rechteentzug. Ade Christanto unterstützt Engineering-Teams dabei, daraus eine umsetzbare Architektur und belastbare Betriebsabläufe zu machen – ohne Compliance-Theater.
