Private KI-Suche und Enterprise RAG: sichere Rollout-Muster für 2026
Der Moment, in dem AI Search ernst wird
Die erste Demo einer privaten KI-Suche läuft fast immer gut. Jemand fragt nach gefährdeten Verlängerungen, der Assistent findet Account-Notizen und fasst die Historie zusammen. Dann fragt die Sicherheitsverantwortliche: Würde dieselbe Antwort auch ein Praktikant, ein externer Dienstleister oder jemand sehen, der gestern den Zugriff verloren hat?
Genau dann wird Enterprise RAG von einem Suchprojekt zu einem Zugriffskontrollprojekt.
In echten Unternehmen umfasst der Index Google Drive, Microsoft 365, Slack, Confluence, Jira, Zendesk, GitHub, Data Warehouses und Dateifreigaben. Jedes System hat eigene Berechtigungen: vererbte Rechte, Gruppenrechte, externe Freigaben, veraltete Rollen und leider auch alte Fehlkonfigurationen.
Warum private KI-Suche riskanter ist als klassische Suche
Klassische Enterprise Search konnte ebenfalls Daten preisgeben, aber meist als Titel, Snippet oder Dateiname. Ein KI-Assistent kann über viele Quellen synthetisieren und eine sichere Antwort formulieren. Das macht Lecks schwerer erkennbar.
Außerdem entstehen neue Kopien: Connector-Queues, Vektordatenbanken, Caches, Observability-Systeme, Model Gateways und Evaluationsdatensätze. Wenn diese Pipeline schwächer geschützt ist als die Quellsysteme, entsteht ein zweiter, weniger kontrollierter Unternehmensspeicher.
Passende interne Beiträge sind MCP in Production, MCP for SaaS Teams und Claude 4 Knowledge Base Workflows.
Berechtigungsspiegelung ist die wichtigste Kontrolle
Berechtigungsspiegelung bedeutet: Die RAG-Schicht darf nur Inhalte abrufen, die der aktuelle Nutzer im Quellsystem genau jetzt lesen dürfte. Nicht beim Crawling, nicht letzte Woche, sondern im Moment der Antwort.
Es gibt drei Muster. Indexzeit-Filterung ist schnell, aber anfällig bei Rechteänderungen. Queryzeit-Filterung speichert Zugriffsdaten im Index und prüft pro Anfrage den Nutzer- und Gruppenkontext. Für besonders sensible Quellen sollte zusätzlich vor der finalen Antwort gegen die Quelle validiert werden.
Ein reifer Rollout kombiniert diese Muster: grobe Filter im Index, Queryzeit-Prüfung für normale Inhalte und Quellen-Revalidierung für HR, Legal, Finance, Security und regulierte Kundendaten.
Connector-Risiken ernst nehmen
Connectoren sind nicht nur Klempnerei. Sie lesen Inhalte, interpretieren Berechtigungen, verarbeiten Löschungen und entscheiden, was indexiert wird. Ein kleiner Fehler im Connector kann einen großen Sicherheitsvorfall auslösen.
Prüfen Sie, ob ein Connector Dokumentrechte, Vererbung, Gruppenmitgliedschaften, externe Freigaben und Eigentümerwechsel erfasst. Prüfen Sie auch, wie schnell Widerrufe und Löschungen wirken, ob inkrementeller Sync stale Inhalte entfernt und ob Aktionen mit Objekt-ID, Akteur und Zeitstempel geloggt werden.
Produkte wie Onyx, formerly Danswer, Credal, Tinfoil, Needl und CodeComplete liegen im Umfeld von privater KI, Enterprise Search, sicherer KI oder Code-Assistenten. Bewerten Sie aktuelle Dokumentation und Security-Materialien, statt anzunehmen, dass ein Produkt automatisch Ihre Berechtigungs- und Audit-Anforderungen löst.
Private Indexierung begrenzen
Der sicherste Index ist der kleinste Index, der noch nützliche Antworten ermöglicht. Teilen Sie Quellen in drei Stufen: breit teilbares Betriebswissen, interne Geschäftsunterlagen und eingeschränkte Materialien wie HR, Legal, Finance, Security, Quellcode und regulierte Daten.
Entscheiden Sie pro Stufe, ob Volltext, Chunks, Embeddings, nur Metadaten oder nur Verweise zur Quelle gespeichert werden. Embeddings sind keine Datenschutzgrenze. Sie stammen aus sensiblen Inhalten und benötigen Verschlüsselung, Mandantentrennung, Aufbewahrungsregeln und Löschprozesse.
Audit-Logs, die Ermittlungen ermöglichen
Jede Antwort sollte einen strukturierten Trace erzeugen: Nutzeridentität, Gruppenkontext, Suchabsicht, durchsuchte Connectoren, Dokument- und Chunk-IDs, Berechtigungsentscheidungen, Modellroute, angezeigte Zitate, Policy-Blocks, Latenz und Fehler.
Speichern Sie nicht blind vollständige Prompts und vollständige Chunks. Für riskante Bereiche reichen oft Hashes, IDs und redigierte Snippets; Vollkontext sollte Break-Glass-Zugriff erfordern. Der NIST AI Risk Management Framework und die OWASP Top 10 for LLM Applications sind gute Referenzen für Governance-Fragen.
Sicherer Rollout
Starten Sie mit einem read-only Pilot auf genehmigten Dokumenten. Danach folgt ein Workflow mit echten Berechtigungen, etwa Support-Tickets oder Account-Notizen, inklusive Identity-Provider-Gruppen und Widerrufstests. Sensible Quellen kommen erst nach formaler Prüfung hinzu. Erst danach lohnt Plattformisierung mit Connector-Templates, Logging-Schemas, Evaluationen und Launch-Checklisten.
Auch der Beitrag AI Agents Practical Guide ist relevant, weil Agenten dieselben Zugriffskontrollen verstärken.
Das eigentliche Produkt ist Vertrauen. Ein kleiner Assistent mit sauberer Zugriffskontrolle ist wertvoller als ein unternehmensweiter Orakel-Chat, den niemand sicher verwenden will.