KI im Netzbetrieb: Wie LLM-Cluster gegen den unkontrollierten Datenabfluss helfen - und was noch kommt

Seit dem 6. Dezember 2025 gilt das NIS2-Umsetzungsgesetz und soll die Cybersicherheit stärken. Es soll das Cybersicherheitsniveau in Sektoren anheben, deren Ausfall die Versorgung gefährden würde, und nimmt dafür erstmals auch die Führungsebene direkt in die Pflicht. Für Verteilnetzbetreiber, Stadtwerke und Energieversorger heißt das konkret: Die Geschäftsleitung haftet nach § 38 BSIG persönlich für Versäumnisse bei der Cybersicherheit, und Verstöße können mit Bußgeldern von bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes geahndet werden.

Die Energiewirtschaft gehört zu den Sektoren, wo “State of the Art”-Sicherheitsmaßnahmen zwingend vorschrieben ist. In dieser Lage lohnt ein Blick auf eine Praxis, die in fast jedem Unternehmen längst stattfindet, aber selten in einer Risikoanalyse auftaucht: die informelle Nutzung öffentlich zugänglicher KI-Dienste.

Schauen wir uns dafür ein paar alltägliche Beispiele an: Ein Mitarbeiter kopiert einen Auszug aus einem Netzberechnungsprotokoll in ChatGPT, um sich eine Zusammenfassung schreiben zu lassen. Eine Sachbearbeiterin lässt sich von einem Chatbot eine Kundenmail formulieren und fügt dabei personenbezogene Daten ein. Beides wird sehr oft “auf dem kurzen Dienstweg” gemacht und ohne dass jemand darüber Buch führt - und häufig ohne bösen Willen. Was im vergangenen Jahr noch als pragmatische Selbsthilfe durchging, ist unter NIS2 ein unkontrollierter Datenabfluss an einen nicht bewerteten Dienstleister, und damit ein Haftungsrisiko, für das die Geschäftsführung bei schuldhaften Verstößen persönlich einstehen muss.

Die naheliegende Reaktion, KI-Nutzung schlicht zu untersagen, funktioniert in der Praxis nicht. Wo ein Werkzeug einen echten Nutzen stiftet, wird es verwendet - notfalls über das private Smartphone und damit außerhalb jeder Kontrolle. Die sinnvolle Frage lautet deshalb nicht, ob KI im Unternehmen genutzt werden soll, sondern über welche Architektur diese Nutzung läuft. Genau hier setzen LLM-Cluster und LLM-Gateways an. Wo ist der Unterschied?

Was heute geht: der lokale LLM-Cluster

Eine sofort verfügbare Problemlösung ist ein lokal betriebenes Sprachmodell. Konkret ist das eine Maschine, die im eigenen Rechenzentrum oder Büro steht und eine Modell-Instanz hostet, die direkt angesprochen wird. Alle Anfragen und alle Daten landen dort und nirgendwo sonst. Für einen Netzbetreiber, dessen sensibelste Anfragen Betriebsdaten aus der Netzsteuerung oder personenbezogene Kundendaten enthalten, löst das den Kern des Problems: Diese Daten verlassen das Haus nicht, jedoch sind lokale LLMs meist nicht so leistungsfähig, weil sie in der Regel mit viel weniger Daten lernen und insgesamt weniger Ressourcen zur Verfügung stehen als bei den kommerziellen Anbieter aus den USA.

Ein großes Sprachmodell (Large Language Model, kurz LLM) ist ein KI-System, das aus großen Textmengen gelernt hat, Sprache zu verarbeiten und zu erzeugen. Es beantwortet Fragen, fasst zusammen oder formuliert Texte, indem es statistisch das jeweils wahrscheinlichste nächste Wort ergänzt.

Lokal betriebene Modelle sind für viele Alltagsaufgaben gut genug, bei komplexen Anfragen sind ihnen die großen, außerhalb Europas oder außerhalb der Firma gehosteten Modelle aber deutlich überlegen. Wer maximale Datenhoheit will, zahlt sie also mit einem Verzicht auf die Spitzenleistung der jeweils stärksten Modelle. Für einen erheblichen Teil der internen KI-Nutzung ist dieser Verzicht vertretbar, und der Gewinn an Kontrolle ist unmittelbar.

Governance-Gateways: verfügbar, aber nicht das Ende der Geschichte

Zwischen dem rein lokalen Betrieb und der ungeregelten Nutzung externer Dienste hat sich in den vergangenen zwei Jahren eine eigene Produktkategorie etabliert, die sogenannten LLM- oder AI-Gateways. Diese Werkzeuge sind kommerziell verfügbar, teils quelloffen, und sie leisten das, was aus Compliance-Sicht zählt: Sie erkennen und filtern sensible Inhalte wie personenbezogene Daten bereits auf der Gateway-Ebene, bevor eine Anfrage einen externen Anbieter erreicht, sie protokollieren jede Anfrage nachvollziehbar, und sie lassen sich innerhalb der eigenen Netzwerkgrenze betreiben, sodass der regulierte Datenverkehr nicht über einen fremden Cloud-Dienst läuft.

Damit adressieren sie das Problem der “Shadow-AI”, also der unkontrollierten KI-Nutzung an IT und Führung vorbei, direkt. Man sollte sie allerdings nicht überschätzen. Diese Gateways sind vom Grundgedanken her darauf gebaut, Anfragen kontrolliert an externe Anbieter weiterzuleiten und dabei zu filtern und zu protokollieren, nicht darauf, maximale Souveränität herzustellen. Und sie sind branchenneutral. Eine Abbildung der spezifischen regulatorischen Logik des Energiesektors, etwa der Anforderungen aus dem IT-Sicherheitskatalog, bringen sie nicht von sich aus mit. Sie sind ein solides Fundament, keine schlüsselfertige Antwort für einen KRITIS-Betreiber.

Der nächste Schritt: das intelligente, souveräne Gateway

Der eigentlich interessante Ansatz geht einen Schritt weiter und verbindet beides. Technisch gesehen wäre dieses Gateway selbst ein lokales Sprachmodell, das jede Anfrage in Echtzeit prüft und entscheidet, wie sie behandelt wird. Enthält eine Anfrage sensible Informationen, die das Haus nicht verlassen dürfen, wird sie lokal beantwortet. Ist die Anfrage unkritisch, aber komplex, leitet das Gateway sie an ein stärkeres externes Modell weiter. Der Filter entscheidet also anhand von zwei Kriterien zugleich, dem Dateninhalt und der Komplexität, und holt so das Beste aus beiden Welten: Datenhoheit dort, wo sie nötig ist, und Spitzenleistung dort, wo sie unbedenklich ist.

An diesem Punkt ist ehrlicherweise Vorsicht geboten. Die einzelnen Bausteine dafür existieren, und die Forschung zu solchem sensibilitäts- und komplexitätsbasierten Routing zwischen lokalen und externen Modellen ist derzeit sehr aktiv. Ein fertiges, gehärtetes Produkt, das genau diese Logik für die regulatorischen Anforderungen eines deutschen Energieversorgers mitbringt, gibt es aber noch nicht von der Stange. Wer das aufbauen will, betritt heute noch Neuland.

---

Was ein LLM-Gateway technisch leistet

Ein LLM-Gateway ist keine zusätzliche Sicherheitsschicht, die man über bestehende Prozesse legt. Es ist die Stelle, an der KI-Anfragen aus dem Unternehmen gebündelt, geprüft und protokolliert werden, bevor sie ein System verlassen. Der Unterschied zwischen einem Firmen-Account bei einem KI-Anbieter und einem echten Gateway liegt in vier Funktionen.

Datenklassifizierung vor dem Prompt.

Bevor eine Anfrage überhaupt weitergeleitet wird, prüft das Gateway, was sie enthält. Betriebsdaten aus der Netzsteuerung, personenbezogene Kundendaten und fachlich unkritische Anfragen werden unterschieden. Diese Klassifizierung entscheidet über alles Weitere und verhindert, dass sensible Inhalte unbemerkt an einen externen Dienst gelangen. Sie ist die technische Entsprechung dessen, was NIS2 an Risikobewertung ohnehin verlangt, angewendet auf jeden einzelnen Vorgang statt einmal jährlich auf dem Papier.

Modellrouting nach Klassifizierung.

Auf Basis dieser Einstufung entscheidet das Gateway, wohin eine Anfrage geht. Als kritisch eingestufte Inhalte werden an EU-gehostete oder lokal betriebene Modelle geleitet, unkritische Anfragen können an externe Anbieter geroutet werden, wo diese leistungsfähiger oder günstiger sind. Für datensouveräne Betriebsoptionen stehen im deutschsprachigen Raum etwa Anbieter wie STACKIT oder Hetzner zur Verfügung. Der Betreiber legt die Regeln fest, nicht der einzelne Nutzer im Moment der Eingabe.

Zugriffskontrolle und Protokollierung.

Ein Gateway hält fest, wer wann welche Anfrage mit welchem Ergebnis gestellt hat. Diese Nachvollziehbarkeit ist kein Selbstzweck, sondern die Grundlage jeder Nachweispflicht. Kommt es zu einem Vorfall oder einer Prüfung, lässt sich belegen, wie mit welchen Daten umgegangen wurde. Ohne Gateway existiert diese Information nicht, die Nutzung findet in verstreuten Einzel-Accounts statt, über die niemand einen Überblick hat.

Lieferkettensicherheit

---

Hinzu kommen praktische Hürden, die man nicht kleinreden sollte. Sämtlichen KI-Verkehr durch ein lokales Gateway zu leiten bedeutet zusätzliche Latenz, es verlangt eine durchdachte Netzwerkadministration, und es bleibt ein Schlupfloch: Was, wenn der Mitarbeiter die interne Lösung umgeht und doch das private Handy nutzt? Das zeigt, dass auch das ausgefeilteste Gateway das Problem nicht allein technisch löst. Ohne begleitende organisatorische Regeln, klare Nutzungsrichtlinien und ein Angebot, das gut genug ist, dass niemand das Bedürfnis hat, es zu umgehen, bleibt jede technische Architektur unvollständig.

LLM-Gateway: Keine Parallelwelt zur bestehenden Pflicht

Für Netzbetreiber ist das kein neues, zusätzliches Compliance-Feld, sondern die Fortschreibung einer Anforderung, die längst besteht. Wer ein Strom- oder Gasnetz betreibt, muss bereits ein zertifiziertes Informationssicherheits-Managementsystem nach ISO/IEC 27001 und 27019 vorhalten. Die Rechtsgrundlage dafür hat sich mit dem NIS2-Umsetzungsgesetz geändert: An die Stelle des bisherigen § 11 Abs. 1a und 1b EnWG tritt § 5c EnWG. Die bestehenden IT-Sicherheitskataloge der Bundesnetzagentur von 2015 und 2018 gelten laut Behörde so lange weiter, bis der überarbeitete Katalog nach neuer Rechtslage veröffentlicht ist.

Ein LLM-Gateway ist damit keine Erfindung eines neuen Problems, um eine Lösung dazu zu verkaufen. Es ist die konsequente Anwendung von Prinzipien, die in einem Information Security Management System (ISMS) ohnehin verankert sind, auf einen Kanal, der bislang unter dem Radar lief. Datenklassifizierung, Zugriffskontrolle, Nachweisbarkeit oder Lieferantenbewertung sind beispielsweise keine KI-spezifischen Erfindungen, sondern Kernbestandteile jedes ordentlichen Sicherheitskonzepts. Neu ist nur, dass sie jetzt auch für den Umgang mit Sprachmodellen gelten müssen.

LLM-Nutzung wird zunehmen - Gateways und Cluster helfen

Die Nutzung von KI im Arbeitsalltag wird zunehmen. Die Frage ist nur, ob sie in einer kontrollierten Architektur stattfindet oder in einem Graubereich, der sich im Prüfungsfall nicht erklären lässt. Wer die Architektur jetzt klärt, verschafft sich Handlungsspielraum, statt später unter Zeitdruck und womöglich nach einem Vorfall nachrüsten zu müssen. Der Aufwand, eine solche Struktur aufzubauen, ist überschaubar. Der Aufwand, ihr Fehlen im Nachhinein zu erklären, ist es nicht.

---

Über Control-F. Die Control-F GmbH ist ein werteorientiertes KI-Unternehmen mit Sitz in Konstanz. Seit 2022 entwickelt die Datenboutique Big-Data-Plattformen für industrielle Telemetriedaten und unterstützt Unternehmen im deutschsprachigen Raum dabei, komplexe Datenlandschaften nutzbar zu machen. Zu den Kunden gehören Konzerne und Mittelständler aus den Bereichen Anlagenbau, Automotive und Energiewirtschaft. Die Geschäftsführer Simon Deussen (Machine Learning Engineer und Gründer) und Daniel Tremer (ehemals Specialist Data Science & AI Projects bei Porsche AG) legen dabei ihren Fokus auf den Aufbau stabiler Datenarchitekturen als Grundlage für Analyse, Softwarelösungen und KI-Anwendungen wie Predictive Maintenance.