
# Dynamische multimodale Evidenzextraktion mit föderiertem Lernen für Echtzeit‑Sicherheitsfragebögen

**Zusammenfassung**  
Sicherheitsfragebögen und Compliance‑Audits stellen für schnell wachsende SaaS‑Unternehmen häufig ein Engpass dar. Traditionelle manuelle Prozesse sind fehleranfällig, zeitaufwendig und können mit den ständig wechselnden regulatorischen Anforderungen kaum Schritt halten. Dieser Artikel stellt eine bahnbrechende Lösung vor – **Dynamic Multi‑Modal Evidence Extraction (DMEE) unterstützt durch Federated Learning (FL)** – die eng in die Procurize‑KI‑Plattform integriert ist, um das Sammeln, Verifizieren und Darstellen von Nachweisdokumenten über verschiedene Datenmodalitäten (Text, Bilder, Code‑Snippets, Protokoll‑Streams) zu automatisieren. Durch das Beibehalten des Lernens vor Ort und das Teilen ausschließlich von Modell‑Updates erhalten Organisationen datenschutz‑schützende Intelligenz, während das globale Modell kontinuierlich verbessert wird und kontext‑aware Antworten in Echtzeit mit höherer Genauigkeit und geringerer Latenz liefert.

---

## 1. Warum multimodale Evidenzextraktion wichtig ist

Sicherheitsfragebögen verlangen **konkrete Nachweise**, die in folgenden Formen vorliegen können:

| Modalität | Typische Quellen | Beispiel‑Frage |
|----------|------------------|----------------|
| **Text** | Richtlinien, SOPs, Compliance‑Berichte | „Stellen Sie Ihre Datenaufbewahrungs‑Policy bereit.“ |
| **Bilder / Screenshots** | UI‑Screens, Architekturdokumente | „Zeigen Sie die Benutzeroberfläche der Zugriffskontrollmatrix.“ |
| **Strukturierte Protokolle** | CloudTrail, SIEM‑Feeds | „Liefern Sie Audit‑Logs für privilegierten Zugriff der letzten 30 Tage.“ |
| **Code / Konfiguration** | IaC‑Dateien, Dockerfiles | „Teilen Sie die Terraform‑Konfiguration für Verschlüsselung im Ruhezustand.“ |

Die meisten KI‑gestützten Assistenten glänzen bei **einmodaler** Textgenerierung, lassen jedoch Lücken, wenn die Antwort einen Screenshot oder einen Log‑Auszug erfordert. Eine einheitliche multimodale Pipeline schließt diese Lücke, wandelt Roh‑Artefakte in **strukturierte Evidenzobjekte** um, die unmittelbar in Antworten eingebettet werden können.

---

## 2. Föderiertes Lernen: Das datenschutz‑zuerst‑Rückgrat

### 2.1 Grundprinzipien

* **Daten verlassen nie das Unternehmen** – Roh‑Dokumente, Screenshots und Protokolldateien bleiben in der gesicherten Umgebung. Nur **Modell‑Gewichts‑Deltas** werden an einen zentralen Orchestrator gesendet.
* **Sichere Aggregation** – Gewicht‑Updates werden verschlüsselt und mittels homomorpher Techniken aggregiert, sodass kein einzelner Klient rückentwickelt werden kann.
* **Kontinuierliche Verbesserung** – Jede lokal beantwortete Frage trägt zu einer globalen Wissensbasis bei, ohne vertrauliche Daten preiszugeben.

### 2.2 Föderiertes Lern‑Workflow in Procurize

```mermaid
graph LR
    A["Unternehmen A\nLokaler Evidenz‑Vault"] --> B["Lokaler Extraktor\n(LLM + Vision‑Modell)"]
    C["Unternehmen B\nLokaler Evidenz‑Vault"] --> B
    B --> D["Gewichts‑Delta"]
    D --> E["Sichere Aggregation"]
    E --> F["Globales Modell"]
    F --> B
    style A fill:#f9f,stroke:#333,stroke-width:2px
    style C fill:#f9f,stroke:#333,stroke-width:2px
    style D fill:#bbf,stroke:#333,stroke-width:2px
    style E fill:#bbf,stroke:#333,stroke-width:2px
    style F fill:#9f9,stroke:#333,stroke-width:2px
```

1. **Lokale Extraktion** – Jeder Mandant betreibt einen **multimodalen Extraktor**, der ein großes Sprachmodell (LLM) mit einem Vision‑Transformer (ViT) kombiniert, um Evidenz zu markieren und zu indexieren.  
2. **Delta‑Generierung** – Modell‑Updates (Gradienten) werden auf den lokalen Daten berechnet und verschlüsselt.  
3. **Sichere Aggregation** – Verschlüsselte Deltas aller Teilnehmenden werden aggregiert und erzeugen ein **globales Modell**, das das kollektive Lernen verkörpert.  
4. **Modell‑Refresh** – Das aktualisierte globale Modell wird an jeden Mandanten zurückgespielt und verbessert sofort die Extraktions‑Genauigkeit über alle Modalitäten hinweg.

---

## 3. Architektur der DMEE‑Engine

### 3.1 Komponenten‑Übersicht

| Komponente | Aufgabe |
|-----------|---------|
| **Ingestion‑Layer** | Konnektoren für Dokumenten‑Stores (SharePoint, Confluence), Cloud‑Speicher, SIEM/APIs. |
| **Pre‑Processing‑Hub** | OCR für Bilder, Parsing für Logs, Tokenisierung für Code. |
| **Multimodaler Encoder** | Gemeinsamer Einbettungs‑Raum (Text ↔ Bild ↔ Code) mittels **Cross‑Modal Transformer**. |
| **Evidenz‑Classifier** | Bestimmt die Relevanz zur Frage‑Taxonomie (z. B. *Verschlüsselung*, *Zugriffskontrolle*). |
| **Retrieval‑Engine** | Vektor‑Suche (FAISS/HNSW) liefert die Top‑k Evidenzobjekte pro Anfrage. |
| **Narrative Generator** | LLM erstellt Antworttext und fügt Platzhalter für Evidenzobjekte ein. |
| **Compliance‑Validator** | Regel‑basierte Prüfungen (Ablaufdaten, unterschriebene Atteste) setzen Policy‑Constraints durch. |
| **Audit‑Trail‑Recorder** | Unveränderliches Log (append‑only, kryptografische Hashes) für jede Evidenz‑Abruf‑Aktion. |

### 3.2 Datenfluss‑Diagramm

```mermaid
flowchart TD
    subgraph Ingestion
        D1[Dokumente] --> P1[Pre‑Processing]
        D2[Bilder] --> P1
        D3[Logs] --> P1
    end
    P1 --> E1[Multimodaler Encoder]
    E1 --> C1[Evidenz‑Classifier]
    C1 --> R1[Vektor‑Store]
    Q[Frage] --> G1[Narrative Generator]
    G1 --> R1
    R1 --> G1
    G1 --> V[Validator]
    V --> A[Audit Recorder]
    style Ingestion fill:#e3f2fd,stroke:#90caf9,stroke-width:2px
    style Q fill:#ffcc80,stroke:#fb8c00,stroke-width:2px
```

---

## 4. Vom Antrag zur Antwort: Echtzeit‑Ablauf

1. **Frage‑Empfang** – Ein Sicherheitsanalyst öffnet einen Fragebogen in Procurize. Die Frage *„Stellen Sie Nachweis für MFA bei privilegierten Konten bereit“* wird an die DMEE‑Engine gesendet.  
2. **Intent‑Extraktion** – Das LLM extrahiert Schlüsseltoken: *MFA*, *privilegierte Konten*.  
3. **Cross‑Modal‑Retrieval** – Der Anfrage‑Vektor wird mit dem globalen Vektor‑Store abgeglichen. Die Engine holt:
   * Einen Screenshot der MFA‑Konfigurationsseite (Bild)
   * Einen Log‑Ausschnitt, der erfolgreiche MFA‑Ereignisse zeigt (Log)
   * Die interne MFA‑Richtlinie (Text)
4. **Evidenz‑Validierung** – Jedes Objekt wird auf Aktualität (< 30 Tage) und erforderliche Unterschriften geprüft.  
5. **Narrative Synthese** – Das LLM formuliert eine Antwort und bettet die Evidenzobjekte als **sichere Referenzen** ein, die im UI des Fragebogens inline gerendert werden.  
6. **Sofortige Bereitstellung** – Die fertige Antwort erscheint innerhalb von **2–3 Sekunden** im UI und kann sofort vom Reviewer freigegeben werden.

---

## 5. Vorteile für Compliance‑Teams

| Vorteil | Auswirkung |
|--------|------------|
| **Geschwindigkeit** – Durchschnittliche Antwortzeit sinkt von 24 h auf < 5 s pro Frage. |
| **Genauigkeit** – Fehlzugeordnete Evidenz wird um 87 % reduziert dank cross‑modaler Ähnlichkeit. |
| **Datenschutz** – Keine Rohdaten verlassen das Unternehmen; lediglich Modell‑Updates werden geteilt. |
| **Skalierbarkeit** – Föderierte Updates benötigen wenig Bandbreite; ein Unternehmen mit 10 k Mitarbeitern nutzt < 200 MB/Monat. |
| **Kontinuierliches Lernen** – Neue Evidenz‑Typen (z. B. Video‑Walkthroughs) werden zentral gelernt und sofort ausgerollt. |

---

## 6. Implementierungs‑Checkliste für Unternehmen

1. **Lokalen Extraktor bereitstellen** – Docker‑basierten Extraktor in einem gesicherten Subnetz installieren und mit Dokument‑ und Log‑Quellen verbinden.  
2. **Föderierten Sync konfigurieren** – Zentrale Aggregator‑Endpoint und TLS‑Zertifikate angeben.  
3. **Taxonomie definieren** – Ihr regulatorisches Framework (z. B. [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [GDPR](https://gdpr.eu/)) den Plattform‑Evidenz‑Kategorien zuordnen.  
4. **Validierungs‑Regeln festlegen** – Ablauf‑Windows, erforderliche Attestations‑Signaturen und Verschlüsselungs‑Flags definieren.  
5. **Pilot‑Phase** – Engine auf einem Teil‑der‑Fragebögen laufen lassen; Präzision‑/Recall‑Metriken überwachen.  
6. **Roll‑out** – Auf alle Lieferanten‑Assessments ausweiten; automatisierten Vorschlags‑Modus für Analysten aktivieren.

---

## 7. Praxisbeispiel: FinTech Corp reduziert Durchlaufzeit um 75 %

**Hintergrund** – FinTech Corp bearbeitete ~150 Lieferanten‑Fragebögen pro Quartal, wobei jede mehrere Evidenz‑Artefakte erforderte. Manuelle Sammlung dauerte im Schnitt 4 Stunden pro Fragebogen.

**Lösung** – Implementierung von Procurize DMEE mit föderiertem Lernen über drei regionale Rechenzentren.

| Kennzahl | Vorher | Nachher |
|----------|--------|---------|
| Durchschnittliche Antwortzeit | 4 h | 6 min |
| Fehlzugeordnete Evidenz‑Rate | 12 % | 1,5 % |
| Bandbreite für FL‑Updates | — | 120 MB/Monat |
| Analysten‑Zufriedenheit (1‑5) | 2,8 | 4,6 |

**Wichtigste Erkenntnisse**  
* Der föderierte Ansatz erfüllte strenge Daten‑Residency‑Vorgaben.  
* Multimodale Retrieval‑Funktionen deckten bislang verborgene Evidenz (z. B. UI‑Screenshots) auf und verkürzten Audit‑Zyklen wesentlich.  

---

## 8. Herausforderungen & Gegenmaßnahmen

| Herausforderung | Gegenmaßnahme |
|----------------|---------------|
| **Modell‑Drift** – Lokale Datenverteilungen ändern sich. | Monatliche globale Aggregation; Einsatz von **Continual‑Learning**‑Callbacks. |
| **Hohe Bild‑Last** – Hochauflösende Screenshots erhöhen den Rechenaufwand. | **Adaptive Auflösung**‑Pre‑Processing; nur relevante UI‑Regionen einbetten. |
| **Regulatorischer Wandel** – Neue Frameworks bringen neue Evidenz‑Typen. | Taxonomie dynamisch erweitern; föderierte Updates propagieren neue Klassen automatisch. |
| **Größe des Audit‑Trails** – Unveränderliche Logs können schnell wachsen. | **Gekettete Merkle‑Bäume** mit periodischer Bereinigung älterer Einträge, wobei Prüfbarkeit erhalten bleibt. |

---

## 9. Zukunfts‑Roadmap

1. **Zero‑Shot‑Evidenz‑Generierung** – Einsatz generativer Diffusions‑Modelle, um maskierte Screenshots zu synthetisieren, wenn Original‑Assets nicht verfügbar sind.  
2. **Erklärbare‑KI‑Vertrauens‑Scores** – Anzeige von Vertrauens‑Balken pro Evidenz mit kontrafaktischen Erklärungen.  
3. **Edge‑Föderierte Knoten** – Leichte Extraktoren auf Entwickler‑Laptops für sofortige Evidenz‑Erzeugung während Code‑Reviews.  

---

## 10. Fazit

Dynamische multimodale Evidenzextraktion, unterstützt durch föderiertes Lernen, markiert einen Paradigmenwechsel in der Automatisierung von Sicherheitsfragebögen. Durch die Vereinigung von Text‑, Bild‑ und Log‑Daten bei gleichzeitigem Schutz der Privatsphäre können Unternehmen schneller, genauer und vollständig auditierbar reagieren. Die modulare Architektur von Procurize erleichtert die Einführung und ermöglicht es Compliance‑Teams, sich auf strategische Risikominimierung statt auf wiederkehrende Datensammlungen zu konzentrieren.