Backdoor

Eine Backdoor — auf Deutsch « Hintertür » — ist ein versteckter Zugang zu einem System, der an den normalen Sicherheitsprüfungen vorbeiführt. Jemand, der diese Hintertür kennt, kann das System kontrollieren, ohne sich regulär anmelden oder ausweisen zu müssen. Backdoors gibt es in klassischer Software, in Betriebssystemen und zunehmend auch in KI-Modellen. Sie können absichtlich eingebaut worden sein — etwa von einem Angreifer — oder unbeabsichtigt entstehen. Der entscheidende Punkt ist: Nach außen hin verhält sich das System normal. Nur wer den versteckten Zugang kennt, kann ihn ausnutzen.

Backdoors in KI-Modellen

In der klassischen IT ist eine Backdoor meistens eine Schwachstelle in Software oder ein heimlich eingebautes Passwort. Bei KI-Modellen ist die Sache raffinierter. Hier kann ein Angreifer das Modell während des Trainings — also während der Phase, in der es aus Daten lernt — so manipulieren, dass es auf ein bestimmtes geheimes Signal falsch reagiert.

Dieses Signal nennt man einen Trigger. Er kann ein bestimmtes Wort, ein Muster in einem Bild oder sogar ein kaum sichtbares Wasserzeichen sein. Solange kein Trigger auftaucht, verhält sich das Modell völlig unauffällig. Sobald der Trigger erscheint, liefert es eine vorher festgelegte falsche Ausgabe — zum Beispiel klassifiziert es ein Bild falsch oder gibt eine gefährliche Anweisung aus.

Das ist besonders gefährlich, weil Standardtests dieses Verhalten nicht aufdecken. Ein Modell kann alle Benchmarks — das sind standardisierte Leistungstests — bestehen und dennoch eine Backdoor enthalten. Man spricht deshalb auch von einem schlafenden Angriff: Die Schwachstelle ist da, aber sie zeigt sich erst im richtigen Moment.

Wie eine KI-Backdoor entsteht

Der häufigste Weg führt über die Trainingsdaten. Wer ein Modell trainiert, braucht riesige Mengen an Beispielen — oft werden diese Daten aus dem Internet gesammelt oder von Dritten bezogen. Ein Angreifer kann dort gezielt manipulierte Beispiele einschleusen. Das Modell lernt dann unbewusst, den Trigger als Signal zu behandeln. Diesen Angriff nennt man Data Poisoning, also « Datenvergiftung ».

Eine zweite Möglichkeit ist der direkte Eingriff in das Modell selbst. Wer Zugang zu den Gewichten eines Modells hat — das sind die zahllosen internen Einstellungen, die das Modell beim Training anpasst — kann sie so verändern, dass eine Backdoor entsteht. Das ist vor allem dann ein Risiko, wenn Unternehmen fertige Modelle aus dem Internet herunterladen, anstatt sie selbst zu trainieren.

Gegen Data Poisoning hilft es, Trainingsdaten sorgfältig zu prüfen und aus vertrauenswürdigen Quellen zu beziehen. Gegen manipulierte Modellgewichte schützt kryptografische Überprüfung — das bedeutet, man verifiziert mithilfe von Mathematik, dass das Modell unverändert vom ursprünglichen Anbieter stammt.

Wo Backdoors in der Praxis auftauchen

In der klassischen Cybersicherheit sind Backdoors seit Jahrzehnten bekannt. Staatliche Geheimdienste fordern gelegentlich von Technologieunternehmen, solche Zugänge in verschlüsselte Kommunikation einzubauen — mit der Begründung, Kriminelle besser überwachen zu können. Sicherheitsexperten warnen seit Langem, dass eine Hintertür für Behörden auch eine Hintertür für Angreifer ist.

Im KI-Bereich ist das Thema jünger, gewinnt aber schnell an Bedeutung. Plattformen wie Hugging Face, auf denen Hunderttausende von Modellen öffentlich geteilt werden, sind ein potenzielles Einfallstor. Wer ein fremdes Modell für die eigene Anwendung nutzt, kann nicht ohne weiteres sicherstellen, dass es unmanipuliert ist. Forscher haben gezeigt, dass Backdoors in Bilderkennungssystemen, Textsystemen und sogar in medizinischen KI-Anwendungen möglich sind.

Das Thema ist auch für Unternehmen relevant, die KI-Modelle einkaufen, statt sie selbst zu entwickeln. Je mehr KI in kritischen Bereichen wie Finanz- oder Infrastruktursystemen eingesetzt wird, desto höher wird das Risiko — und desto wichtiger wird es, Modelle nicht blind zu vertrauen.