Positivliste

Eine Positivliste ist eine Aufzählung von Dingen, die ausdrücklich erlaubt sind. Alles, was nicht auf der Liste steht, ist damit automatisch verboten. Das Gegenstück ist die Negativliste: dort steht, was verboten ist, und der Rest ist erlaubt. Der Unterschied klingt klein, ist aber entscheidend. Bei einer Positivliste muss man vorher wissen, was man zulassen will. Bei einer Negativliste muss man jede neue Gefahr einzeln nachtragen. Im Englischen heißt die Positivliste « Allowlist » oder älter « Whitelist ».

Warum Erlauben sicherer ist als Verbieten

Der Vorteil einer Positivliste ist ihr Verhalten im Unbekannten. Taucht etwas völlig Neues auf, wird es blockiert, weil es nicht auf der Liste steht. Eine Negativliste lässt es dagegen durch, solange niemand es eingetragen hat. Fachleute nennen dieses Prinzip « Standard verbieten »: im Zweifelsfall nichts zulassen.

Genau daran scheitern viele Schutzmechanismen. Ein klassisches Virenschutzprogramm arbeitet mit einer Negativliste bekannter Schadprogramme. Wer eine brandneue Schadsoftware verschickt, umgeht diese Liste, bis der Hersteller sie kennt. Ein Firmenrechner, der nur zwanzig freigegebene Programme starten darf, ist gegen dieselbe Schadsoftware immun. Deshalb schreiben Sicherheitsbehörden Positivlisten für kritische Systeme wie Kraftwerke oder Krankenhäuser vor.

Der Preis dafür ist Bequemlichkeit. Jede Positivliste blockiert regelmäßig auch harmlose Dinge, einfach weil sie fehlen. Man nennt das einen falschen Alarm. Wer eine solche Liste betreibt, braucht also einen Prozess, wie Neues geprüft und aufgenommen wird. Ohne diesen Prozess wird die Liste umgangen oder komplett abgeschaltet.

Was auf der Liste steht und wer sie pflegt

Eine Positivliste braucht ein klares Merkmal, an dem sie Einträge erkennt. Bei Programmen ist das oft ein digitaler Fingerabdruck der Datei, ein sogenannter Hash. Ändert sich die Datei nur um ein Zeichen, passt der Fingerabdruck nicht mehr. Bei Webseiten sind es Adressen oder ganze Domains, bei E-Mails Absenderadressen, bei Netzwerken IP-Adressen.

Die eigentliche Arbeit ist nicht die Technik, sondern die Pflege. Jemand muss entscheiden, wer einen Antrag auf Aufnahme stellen darf und wer ihn genehmigt. Große Organisationen verbinden das mit einer Softwareverteilung: freigegebene Programme werden zentral installiert und stehen dadurch automatisch auf der Liste. Wächst eine Liste ungeprüft, verliert sie ihren Sinn. Eine Positivliste mit zehntausend Einträgen erlaubt am Ende fast alles.

Ein häufiger Irrtum ist, Positivlisten und Negativlisten als Gegner zu sehen. In der Praxis kombiniert man beides. Ein Mailserver kann bekannte Werbeversender per Negativliste ablehnen und gleichzeitig wichtige Geschäftspartner per Positivliste immer durchlassen. Die Positivliste hat dabei üblicherweise Vorrang.

Positivlisten in KI-Systemen und Nachrichten

Bei KI-Anwendungen begegnet man dem Begriff mehrfach. Ein Sprachmodell, das im Internet recherchieren darf, bekommt oft eine Positivliste vertrauenswürdiger Quellen. Es liest dann nur Fachdatenbanken oder geprüfte Nachrichtenseiten. Das senkt das Risiko, dass es Falschinformationen übernimmt oder auf versteckte Anweisungen auf einer manipulierten Webseite reagiert.

Auch bei KI-Agenten, also Programmen, die selbstständig Aufgaben ausführen, ist die Positivliste Standard. Der Agent darf nur die Werkzeuge nutzen, die ihm ausdrücklich zugewiesen sind, etwa Kalender lesen, aber keine Zahlungen auslösen. Ohne diese Begrenzung wäre jeder Fehler des Modells sofort ein teures Problem.

Über den Technikbereich hinaus taucht das Wort in Politik und Wirtschaft auf. Es gibt Positivlisten sicherer Herkunftsstaaten im Asylrecht, Positivlisten erlaubter Lebensmittelzusätze und Positivlisten von Investoren, die eine Aktie kaufen dürfen. Das Prinzip ist überall dasselbe: erlaubt ist nur, was aufgeführt ist. Wer eine solche Meldung liest, sollte immer zwei Fragen stellen. Wer entscheidet über die Aufnahme, und was passiert mit allem, was fehlt?