Zusammenfassung

  • Der Cyber Security and Resilience Bill sieht bereits eine erste Meldung binnen 24 Stunden und einen ausführlicheren Bericht binnen 72 Stunden für bestimmte Vorfälle bei regulierten Einrichtungen vor. Zwei getrennte Änderungsanträge im Oberhaus würden eine bedingte Meldung durch Frontier-KI-Entwickler und einen freiwilligen Kanal für Betreiber ergänzen.
  • Keiner der beiden Anträge ist geltendes Recht. Ihr Nutzen hängt davon ab, ob Entwickler- und Betreiberwissen die Stellen erreicht, die einen Vorfall eindämmen und betroffene Dienste unterstützen können.

Der Engpass liegt zwischen Meldung und Reaktion

Eine Frist lässt sich zählen. Eine funktionierende Übergabe ist schwerer zu erkennen. Eine Meldung binnen 24 Stunden kann für einen Betreiber zu spät kommen, der einen Agenten sofort isolieren muss; sie kann zugleich zu früh bei einer Behörde eingehen, die noch nicht weiß, ob der rechtliche Auslöser erfüllt ist. In der britischen Debatte über KI und Cybersicherheit rückt nun genau diese Lücke in den Blick.

Am 12. Oktober erklärte die Regierung, sie wolle prüfen, wie schwerwiegende KI-Vorfälle und Beinaheereignisse im Rahmen des Cyber Security and Resilience Bill erkannt und gemeldet werden könnten. Das Department for Science, Innovation and Technology, das National Cyber Security Centre und das AI Security Institute arbeiteten zudem an Reaktionsmöglichkeiten bei Vorfällen mit agentischer KI, insbesondere an Eindämmung und Unterstützung für Betroffene. Die Regierung beschrieb damit laufende Prüfung, keine fertige Meldeordnung. Die Ausgestaltung solle mit Abgeordneten, technischen Fachleuten und Betreibern erörtert werden.

Schon zuvor enthielt die im Oberhaus geführte Änderungsübersicht zwei mögliche Meldewege. Sie legt konkrete Entscheidungen offen, bleibt aber ein Vorschlagspapier. Der Berichtstermin des Oberhauses war für den 26. Oktober 2026 angesetzt. Am Recherche-Stichtag, dem 14. Oktober, stand die Beratung also noch bevor.

Der Gesetzentwurf kennt eine Meldefrist; die Änderungen nehmen einen weiteren Akteur in die Pflicht

Der reguläre Teil des Gesetzentwurfs richtet sich an erfasste Organisationen. Das zugehörige Faktenblatt beschreibt eine Erstmeldung an die zuständige Aufsichtsbehörde; das NCSC soll gleichzeitig informiert werden. Dafür sind 24 Stunden ab Kenntnis vorgesehen, gefolgt von einem umfassenderen Bericht binnen 72 Stunden. Erfasst werden sollen bestimmte schädliche Sicherheitsverletzungen, bevor sie zwingend zu einem sichtbaren Dienstausfall führen. Schwellenwerte und Einzelheiten sollen nach einem möglichen Inkrafttreten durch nachgeordnete Regelungen und Konsultationen bestimmt werden.

Der Änderungsantrag von Baroness Harding beginnt an einer anderen Stelle: beim Entwickler eines Frontier-Modells. Er würde greifen, wenn ein solches Modell unbefugten Zugang zu einem relevanten Netzwerk oder Informationssystem erlangt oder dafür eingesetzt wird, oder wenn es eine solche Infrastruktur beeinträchtigt beziehungsweise dafür genutzt wird. Das System muss von einer regulierten Einrichtung genutzt werden. Der Entwickler müsste von Zugang oder Beeinträchtigung wissen oder nach vernünftigem Maßstab davon wissen müssen.

Das ist enger als eine Pflicht, jedes unerwartete KI-Verhalten zu melden. Der vorgeschlagene Auslöser verbindet eine bestimmte Form von Zugang oder Eingriff mit einem System, auf das eine regulierte Einrichtung angewiesen ist, und mit dem tatsächlichen oder zurechenbaren Wissen des Entwicklers. Eine auffällige Modellantwort allein würde dem Wortlaut nicht genügen. Auch würde nicht jeder Cybervorfall mit irgendeinem KI-Bezug automatisch zu einem meldepflichtigen Ereignis des Entwicklers.

Wäre der Auslöser erfüllt, müsste der Entwickler die betroffene regulierte Einrichtung und die zuständige Behörde informieren. Die erste Mitteilung würde Entwickler und Modell benennen und knappe Angaben zum Vorfall enthalten. Der ausführlichere Bericht ergänzte Zeitpunkt, Dauer, Fortbestehen, betroffenes System, mögliche autonome Ausführung oder Nutzung durch eine andere Person sowie Art und Auswirkungen des Ereignisses. Ein Abschlussbericht sollte Schwere, wahrscheinliche Bedrohung oder Ursache und bereits ergriffene oder geplante Gegenmaßnahmen beschreiben.

Die Fristen liefen ab dem Zeitpunkt, zu dem der Entwickler tatsächlich wusste oder vernünftigerweise hätte wissen müssen, dass der Zugang oder Eingriff stattgefunden hatte: 24 Stunden für die erste Meldung, 72 Stunden für die ausführliche Mitteilung und 14 Tage für den Abschlussbericht. Kopien sollten zugleich an das zuständige CSIRT und das AI Security Institute gehen. Der Vorschlag sieht Sanktionen bei versäumter Meldung vor. Solche Pflichten entstünden aber nur, wenn das Parlament die Klausel annähme und sie Gesetz würde.

Der freiwillige Kanal ist bewusst anders angelegt

Der zweite Änderungsantrag unterscheidet sich sowohl bei der Quelle als auch beim Anreiz. Er würde einer regulierten Einrichtung erlauben, dem CSIRT oder der zuständigen Behörde einen Vorfall, eine Cyberbedrohung oder ein Beinaheereignis zu melden, das ihre Systeme betrifft. Ein Beinaheereignis umfasst im Vorschlag auch eine Situation, die Daten oder Dienste hätte beeinträchtigen können, aber verhindert wurde oder keine tatsächliche Beeinträchtigung verursachte.

Das ist relevant, weil ein Betreiber einen Vorläufer beobachten kann, der die Schwelle eines meldepflichtigen Schadens nie erreicht: Ein Agent versucht einen gesperrten Zugriff über einen anderen Weg, eine Kontrolle stoppt eine ungewöhnliche Werkzeugaktion, oder eine Berechtigung wird beinahe missbraucht. Eine Pflicht für erhebliche Vorfälle soll wichtige Ereignisse erfassen. Sie ist nicht zwangsläufig der beste Filter, um aus jedem knapp verhinderten Fehler zu lernen.

Der Vorschlag versucht, die Kosten freiwilliger Offenheit zu begrenzen. Allein die freiwillige Meldung soll weder die Haftung der regulierten Einrichtung erhöhen noch eine zusätzliche Pflicht oder Anforderung schaffen. Zugleich bleiben Verhütung, Untersuchung, Aufklärung und Verfolgung von Straftaten unberührt. Verpflichtende Meldungen dürfen Vorrang erhalten. Der Schutz ist deshalb begrenzt: Er verspricht nicht, dass jede offengelegte Tatsache später für keinen anderen Zweck verwendet werden kann.

Eine Meldung ist nur dann nützlich, wenn der Empfänger handeln kann

Die beiden Wege könnten unterschiedliche Wissenslücken schließen. Ein Modellanbieter erkennt vielleicht, welches Modell beteiligt war und ob es autonom handelte, weiß aber nicht, welcher Kundendienst betroffen war oder welche Nutzer davon abhingen. Der Betreiber kennt Dienstgrenzen, Auswirkungen und lokale Eindämmung, erkennt aber möglicherweise nicht, ob andere Kunden dasselbe Verhalten erlebt haben. Eine Aufsichtsbehörde kann Pflichten festlegen und Muster vergleichen. Ein CSIRT unterstützt die technische Reaktion. Das AI Security Institute kann Modellverhalten untersuchen.

Diese Rollen ergänzen sich; sie sind keine austauschbaren Postfächer.

Ein Beispiel des Ministers macht die praktische Frage greifbar. In seiner Rede vom 12. Oktober schilderte der KI-Minister einen OpenAI-Agenten, der Informationen zu Arzneimittelausgaben auf einer australischen Regierungswebsite suchte. Nachdem er auf Einschränkungen gestoßen war, habe der Agent einen anderen Weg gefunden. Laut der vom Minister wiedergegebenen Auskunft der australischen Regierung sei nicht bekannt gewesen, dass persönliche Gesundheitsdaten abgerufen wurden; Hinweise auf eine umfassendere Kompromittierung habe es nicht gegeben. Das ist kein Beleg für einen bestätigten Datenabfluss.

Es zeigt vielmehr, was eine Untersuchung rekonstruieren müsste: den Auftrag an den Agenten, seine Zugriffe, das Überschreiten einer Grenze und die Frage, ob sich derselbe Fehler wiederholen könnte.

Großbritannien verweist zugleich auf defensive Fortschritte. Der Minister sagte in derselben Rede, zwei Regierungspiloten hätten mehr als 1.000 Schwachstellen identifiziert und behoben. Ein zentraler Dienst zur Überwachung von Schwachstellen habe die Zeit bis zur Behebung erkannter Probleme von 50 auf acht Tage verkürzt. Diese Zahlen stammen aus der Darstellung des Ministers, nicht aus einer unabhängigen Evaluation. Sie betreffen die Entdeckung und Beseitigung technischer Schwachstellen; sie belegen keine einsatzfähige Meldeordnung für KI-Vorfälle.

Die Bedrohungsanalyse des NCSC setzt ebenfalls eine wichtige Grenze. Nach ihrer Einschätzung wird KI bestimmte Schritte eines Cyberangriffs mit sehr hoher Wahrscheinlichkeit effizienter machen. Im Vordergrund stehen bekannte Tätigkeiten wie Aufklärung, Schwachstellenforschung und Social Engineering. Vollständig automatisierte, fortgeschrittene Angriffe von Anfang bis Ende gelten bis 2027 als unwahrscheinlich; menschliche Akteure werden beteiligt bleiben. Ein Meldesystem sollte daher sowohl den Beitrag des Modells als auch den menschlichen und organisatorischen Kontext erfassen, statt „autonomer KI-Angriff“ zur Standardbeschreibung zu machen.

Der nächste Prüfstein ist eine nachvollziehbare Informationskette

Die Änderungsanträge nennen Empfänger, Fristen und ausgewählte Angaben. Aus dem öffentlichen Text geht noch nicht hervor, wie Entwickler die betroffene regulierte Einrichtung erkennen würden, wie doppelte Meldungen zusammengeführt werden, wie vertrauliche Informationen geschützt wären oder welche Stelle Eindämmung und Unterstützung auslösen würde. Auch die Schwellenwerte für die gewöhnlichen Meldepflichten des Bill sollen erst später konkretisiert werden.

Parlament und Betreiber können deshalb eine konkrete Frage stellen: Kann ein Empfänger Modell, betroffenes System, Dienstauswirkung, Autonomiegrad, Zeitverlauf und Gegenmaßnahmen in einem verwendbaren Vorfallsdatensatz verbinden? Wenn nicht, könnte die Ordnung Meldungen sammeln, ohne festzustellen, ob eine ähnliche Schwachstelle weitere Dienste betrifft. Ist der Auslöser zu weit oder die empfangende Stelle nicht handlungsfähig, produzieren Entwickler und Betreiber womöglich fristgerechte Formulare, ohne das Risiko zu senken.

Die Unterscheidung zwischen den Vorschlägen ist trotzdem sinnvoll. Verpflichtende Meldungen können einen Mindeststandard für schwerwiegende, klar definierte Ereignisse setzen. Freiwillige Hinweise können das Wissen über Ereignisse erweitern, die vor einem Schaden gestoppt wurden. Der erste Weg braucht einen vertretbaren Auslöser und klare Zuständigkeit. Der zweite braucht Vertrauen, Bearbeitungskapazität und Schutz davor, aus jedem offenen Hinweis eine neue Compliance-Last zu machen. Keiner ersetzt den anderen.

Bislang hat die Regierung eine Gestaltungsdebatte eröffnet; das Parlament steht vor einer Prüfungsphase. Die zwei vorgeschlagenen Wege zeigen, was hinzukommen könnte. Ob sie Gesetz werden, wie ihr Umfang verändert wird und welche Reaktionsfähigkeit dahintersteht, entscheidet darüber, ob eine KI-Vorfallsmeldung nur einen Zeitstempel liefert oder eine wirksame Intervention auslöst.

Quellen