Ontology-RAG als Baustein digitaler Resilienz

Halluzinationen als zentrales Problem generativer KI

Generative KI hat sich innerhalb weniger Jahre von einer technologischen Innovation zu einem potenziell strategischen Werkzeug für Wissensmanagement, Entscheidungsunterstüt-zung und Informationsanalyse entwickelt. Insbesondere große Sprachmodelle ermöglichen einen intuitiven Zugang zu komplexen Informationsbeständen und versprechen erhebliche Effizienzgewinne. Gerade in sicherheitskritischen Bereichen wie Cyberabwehr, Kritischen Infrastrukturen (KRITIS), Krisenmanagement oder öffentlicher Sicherheit erscheint dieses Potenzial besonders attraktiv.

Demgegenüber steht jedoch ein grundlegendes Problem: Große Sprachmodelle verfügen nicht über ein tatsächliches Verständnis von Fakten, Organisationsstrukturen oder regulatori-schen Anforderungen. Sie generieren Antworten auf Basis statistischer Wahrscheinlichkeiten und können deshalb Inhalte erzeugen, die sprachlich überzeugend, aber fachlich falsch sind. Dieses als Halluzination bezeichnete Phänomen zählt zu den größten Herausforderungen beim produktiven Einsatz generativer KI.

Während ein Halluzinationsfehler bei allgemeinen Informationsanfragen häufig lediglich zu einer Fehlinformation führt, können die Folgen in sicherheitskritischen Umgebungen wesent-lich gravierender sein. Fehlinterpretierte Meldepflichten, unvollständige Risikobewertungen, falsche Handlungsempfehlungen während eines Cybervorfalls oder die fehlerhafte Einord-nung regulatorischer Anforderungen können unmittelbar Auswirkungen auf Sicherheitsmaß-nahmen, Compliance oder operative Entscheidungen haben.

Der produktive Einsatz generativer KI in sicherheitskritischen Domänen erfordert daher Sys-teme, die nicht nur sprachlich überzeugende Antworten liefern, sondern ihre Aussagen auf belastbares Wissen stützen und deren Herleitung nachvollziehbar machen können.

Warum klassisches RAG Halluzinationen nur teilweise reduziert

Um Halluzinationen zu reduzieren, hat sich in den vergangenen Jahren der Ansatz des Ret-rieval-Augmented Generation (RAG) etabliert. Anstatt ausschließlich auf das im Sprachmo-dell enthaltene Wissen zurückzugreifen, werden zusätzliche Informationen aus Dokumen-tenbeständen, Datenbanken oder Wissenssystemen abgerufen und dem Modell als Kontext bereitgestellt.

Dieser Ansatz stellt einen wichtigen Fortschritt dar. Das Modell kann auf aktuelle Richtli-nien, Sicherheitskonzepte, technische Dokumentationen oder regulatorische Anforderungen zugreifen und seine Antworten auf konkrete Quellen stützen. Dadurch sinkt das Risiko freier Erfindungen erheblich.

Allerdings löst klassisches RAG das Halluzinationsproblem nicht vollständig. Das Modell erhält zwar zusätzliche Informationen, muss diese jedoch weiterhin interpretieren und in einen Antwortkontext einordnen. Die Qualität der Antwort hängt daher wesentlich davon ab, ob überhaupt die richtigen Dokumente gefunden wurden.

Genau hier liegen die Grenzen vieler heutiger RAG-Systeme. Die Dokumentensuche basiert häufig auf Vektorähnlichkeiten oder statistischen Repräsentationen von Texten. Das System erkennt, welche Dokumente sprachlich ähnlich erscheinen, versteht jedoch nicht notwendi-gerweise deren fachliche Bedeutung. Es kann deshalb zwar die richtigen Begriffe finden, aber dennoch den falschen organisatorischen oder regulatorischen Kontext berücksichtigen. Gerade im Cyber-Security-Umfeld hängen Entscheidungen selten von einzelnen Dokumen-ten ab. Vielmehr entstehen sie aus komplexen Beziehungen zwischen Bedrohungen, Schwachstellen, Sicherheitsmaßnahmen, Verantwortlichkeiten, Geschäftsprozessen und re-gulatorischen Vorgaben. Eine reine Ähnlichkeitssuche kann solche Zusammenhänge nur ein-geschränkt erfassen.

Warum Knowledge Graphs allein nicht ausreichen

Um die Grenzen dokumentenbasierter RAG-Systeme zu überwinden, werden zunehmend Knowledge Graphen (Wissensgraphen) eingesetzt. Diese ermöglichen die strukturierte Ab-bildung von Entitäten und Beziehungen und schaffen dadurch zusätzliche Kontextinformati-onen für KI-Systeme.

Knowledge Graphen stellen zweifellos einen wichtigen Fortschritt dar. Sie können bei-spielsweise abbilden, welche Systeme zu einer Infrastruktur gehören, welche Organisations-einheiten verantwortlich sind oder welche Komponenten miteinander verbunden sind.

Allerdings beantworten Wissensgraphen primär die Frage, welche Beziehungen existieren. Sie beantworten nur eingeschränkt die Frage, was diese Beziehungen bedeuten. So kann ein Knowledge Graph beispielsweise erfassen, dass ein bestimmtes System zu einer kritischen Infrastruktur gehört oder dass eine Sicherheitsmaßnahme mit einem Risiko in Zu-sammenhang steht. Er definiert jedoch nicht automatisch die fachliche Bedeutung dieser Begriffe, ihre Eigenschaften, Einschränkungen oder Regeln.

Genau hier liegt der entscheidende Unterschied zu Ontologien. Ontologien beschreiben nicht nur Objekte und Beziehungen, sondern spezifizieren deren Semantik. Sie legen fest, was ein Risiko ist, wann eine Maßnahme als Sicherheitskontrolle gilt, welche regulatorischen Anfor-derungen miteinander zusammenhängen oder welche Bedingungen erfüllt sein müssen, da-mit ein Vorfall als meldepflichtig eingestuft wird. Während Knowledge Graphen primär Wissen abbilden, schaffen Ontologien ein gemeinsa-mes Begriffs- und Regelwerk zur Interpretation dieses Wissens. Sie reduzieren Interpretati-onsspielräume und ermöglichen eine konsistente, organisationsübergreifende Wissensnut-zung.

Ontologien als semantische Governance-Schicht

Ontologien können daher als semantische Governance-Schicht für KI-Systeme verstanden werden. Sie schaffen eine explizite Spezifikation des organisationalen Wissens und definie-ren, welche Konzepte in einer Domäne relevant sind und wie diese zueinander in Beziehung stehen.

Im Cyber-Security-Umfeld lassen sich beispielsweise Bedrohungen, Schwachstellen, Assets, Schutzmaßnahmen, Geschäftsprozesse, regulatorische Anforderungen und Verantwortlich-keiten in einer Ontologie spezifzieren. Gleichzeitig können fachliche Regeln und Einschrän-kungen explizit modelliert werden.

Dadurch entsteht eine Wissensarchitektur, die über einzelne Dokumente oder isolierte Da-tenbestände hinausgeht. Informationen werden nicht nur gesammelt, sondern in einen fachli-chen Zusammenhang gebracht. Für KI-Systeme entsteht damit ein semantischer Kontext, der über bloße Textähnlichkeiten hinausgeht.

Ontologien schaffen somit die Grundlage für eine nachvollziehbare, konsistente und domä-nenspezifische Wissensrepräsentation und bilden die Voraussetzung für die nächste Evoluti-onsstufe von RAG-Systemen.

Ontology-RAG: Die Verbindung von Sprachmodellen und Domänenwissen

Ontology-RAG erweitert klassische RAG-Architekturen um genau diese semantische Di-mension. Neben Dokumenten und Wissensgraphen fließen explizite Domänenspezifikationen in den Retrieval- und Antwortprozess ein.

Bei einer Anfrage identifiziert das System zunächst die relevanten Konzepte der zugrunde liegenden Ontologie. Anschließend werden nicht nur passende Dokumente selektiert, son-dern auch semantisch relevante Entitäten, Beziehungen, Regeln und Kontextinformationen berücksichtigt.

Dadurch erhält das Sprachmodell einen deutlich stärker strukturierten Wissensraum. Es ver-arbeitet nicht mehr lediglich Textfragmente, sondern Wissen über Risiken, Prozesse, Assets, Verantwortlichkeiten, regulatorische Vorgaben und deren Zusammenhänge. Das Ergebnis sind Antworten, die stärker kontextualisiert, fachlich konsistenter und nach-vollziehbarer ausfallen. Halluzinationsrisiken werden zwar nicht vollständig eliminiert, je-doch deutlich reduziert, da die Wissensbasis nicht mehr ausschließlich auf statistischen Ähn-lichkeiten, sondern auf explizit spezifiziertem Domänenwissen beruht.

Mehrwert für Nachvollziehbarkeit, Auditierung und Compliance

Die größten Vorteile von Ontology-RAG entstehen dort, wo Nachvollziehbarkeit und Revisi-onssicherheit von zentraler Bedeutung sind.

Im Kontext von NIS2, KRITIS-Vorgaben, Informationssicherheitsmanagement oder Audits genügt es nicht, eine Antwort zu erhalten. Vielmehr muss nachvollziehbar sein, auf welchen Informationsquellen und welchen fachlichen Annahmen diese Antwort beruht. Durch die Kombination aus Ontologien, Wissensgraphen und Dokumentenretrieval lassen sich Antworten auf konkrete Quellen, regulatorische Anforderungen und semantische Zu-sammenhänge zurückführen. Organisationen erhalten damit nicht nur Ergebnisse, sondern auch eine transparente Begründungsstruktur.

Ontology-RAG unterstützt dadurch die Auditierbarkeit von KI-Systemen und schafft eine wichtige Voraussetzung für vertrauenswürdige und governance-konforme KI-Anwendungen.

Anwendungsfälle in KRITIS, Cyberabwehr und öffentlicher Sicherheit

Besonders deutlich werden die Potenziale von Ontology-RAG in sicherheitskritischen Ein-satzszenarien.

Im Bereich der Incident Response können Sicherheitsanalysten nach einem Cyberangriff unmittelbar erkennen, welche betroffenen Systeme mit welchen Geschäftsprozessen verbun-den sind, welche regulatorischen Meldepflichten bestehen und welche Organisationseinhei-ten einzubinden sind. Statt Dokumente manuell zu durchsuchen, werden Zusammenhänge automatisch bereitgestellt.

Für KRITIS-Betreiber kann Ontology-RAG als intelligenter Wissenszugang für Sicherheits-richtlinien, Risikoanalysen, Asset-Verzeichnisse und regulatorische Vorgaben dienen. Dadurch lassen sich Auswirkungen von Sicherheitsvorfällen schneller bewerten und Gegen-maßnahmen zielgerichteter planen.

In Sicherheitsbehörden und Lagezentren können Lageinformationen, Einsatzkonzepte, recht-liche Vorgaben und Erfahrungswissen in einem gemeinsamen semantischen Wissensraum zusammengeführt werden. Entscheidungsträger erhalten kontextbezogene Informationen über natürliche Sprache, ohne die Nachvollziehbarkeit der zugrunde liegenden Informatio-nen zu verlieren.

Darüber hinaus eröffnet Ontology-RAG neue Möglichkeiten im Bereich des organisationalen Lernens. Frühere Vorfälle, Lessons Learned und bewährte Vorgehensweisen können mit ak-tuellen Situationen verknüpft werden. Dadurch wird Erfahrungswissen nicht nur archiviert, sondern aktiv für zukünftige Entscheidungen nutzbar gemacht.

Fazit: Ontology-RAG als Grundlage vertrauenswürdiger KI

Die Diskussion über vertrauenswürdige KI wird sich künftig weniger um die Frage drehen, wie leistungsfähig Sprachmodelle sind, sondern vielmehr darum, wie belastbar ihre Wissens-grundlagen ausgestaltet werden können.

Größere Modelle allein lösen weder Halluzinationen noch Probleme der Nachvollziehbar-keit, Governance oder Compliance. Entscheidend wird vielmehr die Integration generativer KI in strukturierte Wissensarchitekturen sein.

Ontology-RAG stellt hierfür einen vielversprechenden Ansatz dar. Durch die Verbindung von Large Language Models, Dokumentenwissen, Wissensgraphen und formalen Ontologien entsteht eine Architektur, die sprachliche Flexibilität mit semantischer Präzision verbindet. Die eigentliche Innovation liegt dabei nicht im Sprachmodell selbst, sondern in der explizi-ten Modellierung des organisationalen Wissens.

Gerade im Umfeld von Cyber-Resilienz, NIS2, Kritischen Infrastrukturen und öffentlicher Sicherheit könnte Ontology-RAG damit zu einer Schlüsseltechnologie werden. Denn die Zukunft vertrauenswürdiger KI liegt nicht allein in immer leistungsfähigeren Modellen, son-dern vor allem in besseren Wissensstrukturen. Ontologien schaffen dafür die semantische Grundlage und machen KI-Systeme nachvollziehbarer, auditierbarer und letztlich resilienter gegenüber den Herausforderungen einer zunehmend komplexen digitalen Welt.