Eine Bewerbung enthält weißen, für Menschen unsichtbaren Text mit der Anweisung, die Kandidatin trotz fehlender Qualifikation als “sehr geeignet” einzustufen. Ein Recherche-Agent liest die Webseite eines Wettbewerbers und übernimmt dabei eine dort versteckte Anweisung, das eigene Produkt schlechtzureden. Ein Kundenservice-Chatbot greift auf eine kompromittierte FAQ-Seite zu und nennt daraufhin einen Rabatt, den es nie gab. Alle drei Fälle sind reale Angriffsmuster, keine Zukunftsmusik, und sie haben denselben Namen: Prompt Injection.
Kurzfassung
Prompt Injection manipuliert KI-Systeme über präparierte Eingaben oder versteckte Anweisungen in Dokumenten und Webseiten. Die OWASP Foundation führt das Risiko seit 2023 ununterbrochen als Nummer eins ihrer Top-10-Liste für Anwendungen mit großen Sprachmodellen. Das BSI warnt seit 2023 davor und stellt klar, dass es keine vollständig zuverlässige Gegenmaßnahme gibt. Wirksam wird das Risiko erst durch mehrere Schichten Kontrolle zusammen: getrennte Datenquellen, eingeschränkte Rechte, ein Freigabeschritt für kritische Aktionen und laufendes Monitoring.
Was Prompt Injection genau ist
Ein Sprachmodell trennt intern nicht zuverlässig zwischen einer Anweisung, die es befolgen soll, und einem Text, den es nur verarbeiten soll. Beides kommt als derselbe Strom von Wörtern bei ihm an. Genau das macht sich Prompt Injection zunutze.
Bei direkter Prompt Injection gibt eine Person die manipulierende Eingabe selbst im Chatfenster ein, um das System zu einer eigentlich gesperrten Aktion zu bewegen, umgangssprachlich auch “Jailbreak” genannt. Bei indirekter Prompt Injection steckt die Anweisung versteckt in einem Dokument, einer Webseite, einer E-Mail oder einem Support-Ticket, das ein KI-System im Rahmen seiner eigentlichen Aufgabe verarbeitet, oft in Formaten, die ein Mensch beim flüchtigen Lesen gar nicht bemerkt: weißer Text auf weißem Grund, unsichtbar kleine Schriftgröße oder in Metadaten versteckte Zeichenketten.
Die indirekte Variante ist die, die für Unternehmen zunehmend relevant wird. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) sensibilisiert seit einer Warnung vom Juli 2023 gezielt für diese Angriffsklasse und beschreibt sie als grundsätzlich schwer zu verhindern, weil sie an einer strukturellen Eigenschaft von Sprachmodellen ansetzt, nicht an einem einzelnen behebbaren Programmierfehler.
Warum KI-Agenten das Risiko verschärfen
Ein einfacher Chatbot ohne Werkzeugzugriff ist vergleichsweise ungefährlich: Ein Mensch liest die Antwort, bevor irgendetwas passiert. Sobald ein System aber selbstständig externe Quellen liest und danach handelt, also ein KI-Agent, öffnet sich eine deutlich größere Angriffsfläche. Die OWASP Foundation führt diese Kategorie in ihrer aktuellen Top-10-Liste für LLM-Anwendungen 2025 separat als “Excessive Agency”, zu weitreichende Handlungsfähigkeit einer KI ohne ausreichende Kontrolle, und nennt Prompt Injection gleichzeitig unverändert als Risiko Nummer eins der gesamten Liste.
Das trifft direkt die Art von Systemen, die im Mittelstand gerade produktiv gehen: ein KI-Agent, der E-Mails liest und beantwortet, ein Recherche-Agent, der fremde Webseiten auswertet, oder ein System mit Retrieval-Augmented Generation, das eigene und teils extern zugelieferte Dokumente durchsucht. Jede dieser Quellen, ein Bewerbungsanhang, eine Kundenanfrage, eine hochgeladene Rechnung, ist ein potenzieller Träger für eine versteckte Anweisung.
Drei reale Angriffsmuster aus der Praxis
Das Mittelstand-Digital Zentrum Fokus Mensch, eine vom Bundeswirtschaftsministerium geförderte Anlaufstelle für die Digitalisierung kleiner und mittlerer Unternehmen, beschreibt in einer Einordnung vom Mai 2026 mehrere konkrete Angriffsmuster, die sich unmittelbar auf typische Mittelstandsprozesse übertragen lassen.
Manipulierte Bewerbungsunterlagen. Ein Lebenslauf enthält Text in weißer Schrift auf weißem Hintergrund mit der Anweisung an ein KI-gestütztes Screening-System, die Bewerbung trotz fehlender Qualifikation als besonders geeignet einzustufen. Für das menschliche Auge unsichtbar, für ein textverarbeitendes Modell aber lesbar.
Präparierte Wettbewerber-Inhalte. Ein Recherche-Agent, der im Auftrag eines Unternehmens Wettbewerberseiten oder Produktvergleiche auswertet, liest dabei eine dort versteckte Anweisung, die ihn dazu bringt, das eigene Produkt in der Ausgabe abzuwerten oder ein fremdes Produkt zu bevorzugen.
Kompromittierte Wissensquellen. Ein Kundenservice-Chatbot greift auf eine FAQ- oder Wissensdatenbank zu, die verändert oder unterwandert wurde, und gibt daraufhin eine nicht autorisierte Rabattzusage oder eine falsche Vertragsauskunft weiter, die anschließend als verbindliche Aussage des Unternehmens gilt.
Gemeinsamer Nenner aller drei Muster: Der Angriff zielt nicht auf das Modell selbst, sondern auf eine Datenquelle, der das Modell vertraut, ohne dass es diese Quelle als potenziell manipuliert erkennen kann.
Was das BSI dazu sagt
Das BSI hat generative KI-Modelle in einer eigenen Publikation vom Januar 2025 als Quelle neuartiger IT-Sicherheitsrisiken eingeordnet, die zugleich bekannte Bedrohungen verstärken können. Zur konkreten Bedrohung durch Prompt Injection äußert sich die Behörde bereits seit einer eigenständigen Warnung vom Juli 2023 deutlich: Eine vollständig zuverlässige und gleichzeitig praxistaugliche Gegenmaßnahme, die die Funktionalität eines KI-Systems nicht erheblich einschränkt, gibt es demnach aktuell nicht.
Statt auf eine einzelne technische Lösung setzt das BSI auf eine Kombination organisatorischer und technischer Maßnahmen: systematische Risikoanalysen vor dem produktiven Einsatz, eingeschränkter Zugriff auf nicht vertrauenswürdige Quellen, eine verpflichtende menschliche Freigabe für kritische Aktionen, Sandboxing sowie gezielte Penetrationstests für KI-gestützte Anwendungen.
Kein einmaliges Problem, sondern ein laufendes Risiko
Weil sich Angriffsmuster mit jedem neuen Modell und jeder neuen Integration weiterentwickeln, ist Schutz vor Prompt Injection kein Projekt mit Abschlussdatum, sondern eine laufende Aufgabe, ähnlich wie klassische IT-Sicherheit. Ein System, das heute als sicher konfiguriert gilt, kann es nach der nächsten Werkzeug-Integration nicht mehr sein.
Sechs Maßnahmen, die das Risiko wirksam senken
Keine einzelne Maßnahme reicht aus. Wirksam wird der Schutz erst als Kombination mehrerer Schichten.
1. Anweisungen und Fremddaten technisch trennen. Wo immer möglich, sollte die Systemanweisung eines KI-Agenten klar von den Inhalten getrennt bleiben, die er aus externen Quellen liest, statt beides im selben Textstrom zu vermischen. Das reduziert das Risiko, verhindert es aber nicht vollständig.
2. Zugriffsrechte eng schneiden. Ein Agent sollte nur auf die Quellen und Werkzeuge zugreifen können, die seine konkrete Aufgabe zwingend erfordert. Ein Kundenservice-Bot braucht keinen Schreibzugriff auf die Preisdatenbank, ein Recherche-Agent keinen Zugriff auf interne Vertragsdaten.
3. Menschliche Freigabe für kritische Aktionen. Alles, was nach außen wirkt oder nicht rückgängig zu machen ist, eine Rabattzusage, ein Vertragsdokument, eine automatisierte E-Mail an Dritte, gehört hinter einen definierten Freigabeschritt durch eine Fachperson. Diese Regel gilt unabhängig von Prompt Injection ohnehin, gegen Manipulation ist sie aber die wirksamste Einzelmaßnahme, weil sie den Schaden begrenzt, selbst wenn ein Angriff technisch erfolgreich war.
4. Bekannte Angriffsmuster filtern. Eingehende Inhalte, insbesondere Uploads und externe Webseiteninhalte, lassen sich vor der Verarbeitung auf bekannte Manipulationsmuster prüfen, etwa unsichtbaren Text, ungewöhnliche Formatierungen oder verdächtige Anweisungsformulierungen. Kein vollständiger Schutz, aber ein zusätzlicher Filter.
5. Mitarbeitende gezielt schulen. Wer KI-Agenten betreibt oder ihre Ausgaben prüft, sollte das Grundprinzip von Prompt Injection kennen, um eine ungewöhnliche Systemreaktion als möglichen Angriff statt als bloße Modell-Eigenart zu erkennen. Wie sich eine strukturierte KI-Kompetenz im Unternehmen aufbauen lässt, beschreibt der Beitrag KI-Schulung für Mitarbeiter.
6. Ein- und Ausgaben protokollieren und stichprobenartig prüfen. Nur wer die tatsächlichen Anfragen und Antworten eines produktiven Systems über die Zeit dokumentiert, kann eine Manipulation im Nachhinein überhaupt erkennen und die eigene Risikoeinschätzung mit echten Daten statt mit Vermutungen unterlegen.
Wo eigene KI-Infrastruktur das Risiko strukturell reduziert
Ein Teil des Risikos liegt nicht am Modell selbst, sondern daran, wie viele fremde, unkontrollierte Quellen ein System im Alltag berührt. Ein KI-Agent, der frei im offenen Internet recherchiert und Ergebnisse automatisch weiterverarbeitet, hat eine grundsätzlich größere Angriffsfläche als ein System, das ausschließlich auf einer kuratierten, geprüften internen Wissensbasis arbeitet.
Genau hier setzt eine bewusst geplante eigene KI-Infrastruktur an: Welche Quellen ein Agent lesen darf, wird zur expliziten Entscheidung statt zur impliziten Voreinstellung eines Standardprodukts. Das ersetzt keine der sechs Maßnahmen oben, verkleinert aber die Angriffsfläche, bevor die erste Maßnahme überhaupt greifen muss. Dieselbe Logik strukturierter Kontrolle gilt für die organisatorische Seite, wie der Beitrag KI-Governance im Unternehmen beschreibt, und für unkontrolliert eingeführte Tools, die sich Schatten-KI im Unternehmen genauer ansieht.
Was jetzt zu tun ist
Prompt Injection lässt sich nicht auf null senken, das sagt auch das BSI offen. Machbar ist aber, das Risiko so weit einzugrenzen, dass ein Angriff selten wird und auffällt, bevor er wirkt. Drei Schritte machen dabei den größten Unterschied: für jeden produktiven KI-Agenten dokumentieren, welche externen Quellen er liest und welche Aktionen er ohne Rückfrage ausführen darf, einen Freigabeschritt für alles mit Außenwirkung fest einbauen, und die tatsächlichen Ein- und Ausgaben laufend protokollieren statt sich auf ein einmaliges Sicherheitskonzept zu verlassen.
Wer diese drei Punkte für die eigenen KI-Workflows klären will, bevor sie produktiv laufen, bekommt im KI-Prozess-Audit eine strukturierte Ersteinordnung: welche Prozesse einen eng geschnittenen Werkzeugzugriff brauchen, wo ein Freigabeschritt zwingend ist und welche eigene KI-Infrastruktur sich dafür eignet.
