Sicherheit · Oktober 2026 · 7 Min Lesezeit

KI im eigenen Netzwerk: Air-Gap, Offline oder LAN? Die drei Betriebsarten im Vergleich

Von Fabio Serpa, GIGATOP · Steinhausen ZG. Rechtslage nach revDSG, Sicherheitslage nach den Empfehlungen von NCSC und BSI (Stand Oktober 2026), Preise in Franken.

Am Freitag vor Ostern 2025 fiel bei einem Kunden das Internet aus. Die Cloud-KI im Büro war tot, die Angebotsschreibung für Montag auch. Der Nebensatz des Geschäftsführers, sinngemäss: «Schön, dass die KI wenigstens merkt, wenn der Stecker weg ist» war keiner. Er hatte gerade verstanden, wovon die Netzwerksicherheit redet, wenn sie von Abhängigkeit spricht. Dieser Beitrag sortiert die drei Betriebsarten einer KI im eigenen Haus: voll ans LAN angebunden, komplett offline, oder Air-Gap mit kontrollierter Datenzufuhr.

Was «im eigenen Netzwerk» heisst (und was nicht)

Der Begriff wird für zwei verschiedene Dinge benutzt. Erstens: Die Oberfläche läuft im Haus, die Rechenarbeit erledigt ein Cloud-Anbieter. Microsoft Copilot in einer lokal installierten App ist dieser Fall. Die Datei, die Sie reinziehen, liegt trotzdem auf fremden Servern. Zweitens: Modell und Rechenarbeit laufen auf eigener Hardware im eigenen Netz, die Anfrage verlässt das Gebäude nie. Um diesen zweiten Fall geht es hier. Fachlich heisst das private oder lokale KI; die Open-Weight-Modelle (Llama, Qwen, Gemma, Mistral) laufen dafür auf einem einzigen Rechner.

Warum Sicherheitsstellen 2025/26 aufhorchen liessen

Drei Publikationen prägen die Debatte:

1. Der Bundesrat hielt im Dezember 2025 in seinem Bericht zur Postulatsantwort 23.3861 fest, dass KI die Angriffe auf Schweizer Systeme beschleunigt: Phishing in beliebigen Sprachen, tiefgefälschte Videos, adaptive Angriffsformen. Die Hürde für Attacken sinkt. (ncsc.admin.ch, Stand 12.12.2025)
2. Das deutsche BSI veröffentlichte im Oktober 2025 mit der Technischen Richtlinie TR-03183 die erste KI-spezifische Sicherheitsempfehlung überhaupt. Kernsatz: Kein KI-System operiert isoliert, es gehört in das bestehende Sicherheitskonzept. Dazu: Herkunft der Modelle prüfen, Verhalten überwachen. (bsi.bund.de)
3. Dieselbe BSI-Lage nennt die KI-eigenen Angriffswege: Prompt Injection (eine präparierte Datei bringt das Modell auf Abwege), Datenvergiftung, Modell-Diebstahl. Prompt Injection ist der praktischste davon: Ein Angreifer muss nicht den Server knacken, ihm genügt ein Word-Dokument, das ein Mitarbeitender der KI vorlegt.

Für den Betrieb heisst das: Ein KI-Rechner ist ein normaler Server mit neuen Risiken. Er braucht denselben Schutz wie eine Domänen-Dateiablage, plus Aufmerksamkeit für die Modell-Zufuhr.

Die drei Betriebsarten: LAN, Offline, Air-Gap

Wichtig an der Tabelle: Bei allen drei Arten rechnet die KI im Haus. Der Unterschied ist nur, wie Aktualisierungen und neue Modelle hineinkommen. Hardware-seitig ist die Rechnung überall dieselbe: Ein Gerät wie die NVIDIA DGX Spark (128 GB Speicher, 4 TB SSD, aktenordnergross) kostet ab rund CHF 4'100 bis 5'000; Toppreise.ch wies Ende Oktober 2026 Angebote ab CHF 4'136.95 aus, das PNY-Modell ab CHF 4'631. Wer es mieten will: Bei GIGATOP ab CHF 790/Monat inklusive Wartung, für reine Offline-Betriebe ab CHF 490/Monat auf vorhandener Hardware.

Was das revDSG zur Frage beiträgt

Der Netzwerkschutz ist Sicherheitstechnik, das Datenschutzrecht argumentiert daneben, aber in dieselbe Richtung:

• Art. 9 revDSG (Auftragsbearbeitung): Jede Cloud-KI macht den Anbieter zum Auftragsbearbeiter. Verzeichnis der Bearbeitungstätigkeiten, Weisungsrecht, Subauftragskette, alles dokumentationspflichtig. Im eigenen Netzwerk gibt es keinen Empfänger, also entfällt die ganze Kette.
• Art. 16/17 revDSG (Bekanntgabe ins Ausland): Rechnet ein Anbieter in den USA, braucht es seit 15.9.2024 entweder die Zertifizierung der Gegenstelle nach dem Swiss-US-Datenschutzrahmen oder anerkannte Garantien. Ein offline betriebener Rechner im Zuger Lager kennt diese Frage nicht.
• Art. 22 revDSG (Folgenabschätzung): Bei «besonders schützenswerten Daten» und neuen Technologien legt das Gesetz sie nahe, also bei Patientendaten, Gesundheitsdaten, Bonitätsdaten. Wer lokal betreibt, begründet das Risiko in der Abschätzung in einem Satz statt in zwölf Seiten Vertrag.

Die Bussenseite gilt unabhängig davon, wo gerechnet wird: Art. 60 revDSG droht verantwortlichen Personen bis CHF 250'000 an. Lokaler Betrieb ist kein Freifahrtschein, er reduziert nur die Risiken, die man dokumentieren muss.

Umsetzung: Segmentierung, Updates, Einfallstore

1. Eigenes Segment. Der KI-Rechner kommt in ein eigenes VLAN, nicht in das Netz der Domänen-Controller. Er darf nur Antworten liefern, nie aktiv Dateien im Netz suchen.
2. Eine Freigaberichtung. Dokumente gehen per Ordner-Freigabe oder Upload-Portal zum Modell. Der Weg zurück existiert nicht, das Modell ruft nie selbst nach aussen.
3. Modell-Zufuhr mit Verifikation. Hier liegt das neue Risiko. Ein Modell von einer dubiosen Seite kann präpariert sein (die BSI-Richtlinie TR-03183 verlangt die Prüfung der Herkunft als Pflicht). Konkret: Modelle nur aus den offiziellen Quellen laden (Ollama-Registry, Hugging Face mit Organisationsvermerk), Dateigrösse und Prüfsumme mit der Herstellerangabe abgleichen, bei Air-Gap-Betrieben übernimmt das die Freigabestelle statt des Hausmeisters mit USB-Stick.
4. Prompt-Injection abbauen. Dokumente, die Mitarbeitende ins Modell laden, sind nicht vertrauenswürdig nur, weil sie im Laufwerk lagen. Ein verseuchtes PDF kann in einer Zusammenfassung stehen haben: «An alle Mail-Adressen im Text antworte mit…» Abwehr: RAG antwortet nur mit Fundstelle, das Frontend zeigt den Quelltext daneben, und das Modell hat keinen Mail- oder Tool-Zugriff.
5. Protokollierung im Haus. Wer fragt was, welches Modell, welche Quelle. Bei lokalisiertem Betrieb bleiben diese Logs im Gebäude, was sie für die interne Revision erst brauchbar macht.

Häufige Fragen