Wer in einem regulierten Umfeld mit generativer KI arbeitet, sollte das kennen: Am 1. September hat das OWASP GenAI Security Project ein kostenloses Open-Source-Tool namens „Crosswalk“ veröffentlicht.
Es löst ein bekanntes Problem. OWASP pflegt bereits angesehene Listen zu GenAI-Sicherheitsrisiken — die Top 10 für LLM-Anwendungen, die Top 10 für agentische Anwendungen und weitere. Sie benennen die Risiken und oft auch die Gegenmaßnahmen. Was sie nicht leisten, ist die Antwort darauf, welche konkrete Anforderung in welcher konkreten Regulierung eine bestimmte Kontrolle tatsächlich erfüllt. Diese Zuordnungsarbeit blieb bisher denjenigen überlassen, die sie brauchen — meist von Hand in einer Tabelle zusammengestellt, ein Regelwerk nach dem anderen.
Der Crosswalk ordnet 51 GenAI-Risiken aus vier OWASP-Quelllisten Kontrollen in 25 verschiedenen Regelwerken zu — darunter AI Act, DORA, ISO-Normen und NIST. Man wählt die für sich relevanten Regelwerke aus, und das Tool zeigt, wo bestehende Kontrollen ein Risiko bereits abdecken und wo die tatsächlichen Lücken liegen. Man kann sogar Ergebnisse der eigenen Testwerkzeuge hochladen, um die Zuordnung zu validieren. Das ersetzt keine Expertenbeurteilung, nimmt aber viel von dem manuellen Abgleich ab, der früher die ersten Wochen jedes GenAI-Compliance-Projekts aufgezehrt hat.
Es ist kein fertiges Audit, und es sagt nicht, ob eine Kontrolle tatsächlich gut umgesetzt ist — nur, ob eine erwartet wird. Für alle, die beginnen, GenAI-Risiken den Pflichten des AI Act, ISO 27001/42001 oder Branchenregeln wie DORA zuzuordnen, ist es aber ein wirklich nützlicher Startpunkt, und es ist kostenlos.
Quelle: OWASP GenAI Security Project
Passend dazu: KI-Governance-Checkliste (kostenlos · 10 Fragen · 5 Minuten)
Stand der Recherche: 11. September 2026 — Regulatorik entwickelt sich dynamisch; dieser Beitrag ersetzt keine individuelle Rechts- oder Fachberatung.
