Recherche-Ratgeber · KI-Agenten

Prompt-Injection: Wie versteckte Befehle KI-Agenten manipulieren – und wie du dich schützt

Recherche-Ratgeber · Stand Oktober 2026 · kein Praxistest · veröffentlicht 22.10.2026 · 8 Min · CompareAI Editorial

Teil der Themenübersicht KI-Agenten für Freelancer: Alle Ratgeber zu Assistenten, Chatbots und Kosten

Hinweis: Dieser Beitrag ist eine Recherche auf Basis öffentlicher Anbieterangaben und Gesetzestexte (Stand Okt 2026), kein Praxistest. Preise und Limits können sich ändern, prüfe sie vor dem Kauf auf der verlinkten Quelle. Keine Rechts- oder Steuerberatung.

KI-Agenten lesen Mails, fassen Webseiten zusammen, legen Termine an oder schicken Nachrichten – oft mit Zugriff auf Postfach, Kalender und Cloud-Speicher. Genau das macht sie anfällig für eine Angriffsart, die es bei klassischer Software so nicht gibt: Prompt-Injection. Dabei werden einem Sprachmodell über Inhalte, die es verarbeitet, Befehle untergeschoben. Dieser Ratgeber erklärt das Prinzip anhand der Hinweise des Bundesamts für Sicherheit in der Informationstechnik (BSI) und des OWASP-Projekts und zeigt, welche Schutzmaßnahmen Selbstständige umsetzen können. Er beschreibt keine eigenen Angriffsversuche.

Direkte und indirekte Prompt-Injection

Bei der direkten Variante gibt jemand dem Chatbot selbst manipulierte Anweisungen, etwa „Ignoriere alle bisherigen Regeln“. Das betrifft vor allem öffentliche Chatbots auf Websites (siehe Website-Chatbot erstellen). Für Nutzer von Agenten gefährlicher ist die indirekte Variante: Der Befehl steckt in einem Inhalt, den der Agent im Auftrag liest – einer E-Mail, einem PDF, einer Webseite, einem Kalendereintrag oder einem Bild. Das BSI warnt bereits seit 2023 vor dieser „intrinsischen Schwachstelle“ anwendungsintegrierter Sprachmodelle.

Das BSI beschreibt in seinen Verbraucherinformationen zu KI-Agenten ein typisches Beispiel: Ein Agent soll E-Mails zusammenfassen. Eine manipulierte Mail enthält – etwa als unsichtbarer weißer Text auf weißem Hintergrund – den Befehl, alle künftigen Mails an eine fremde Adresse weiterzuleiten. Der Agent führt ihn aus, obwohl du ihn nie erteilt hast.

Warum das nicht einfach „wegprogrammiert“ wird

Sprachmodelle unterscheiden nicht zuverlässig zwischen Anweisungen ihres Nutzers und Text, den sie nur verarbeiten sollen. Das OWASP-Projekt, das die bekannte Top-10-Liste der Risiken für LLM-Anwendungen herausgibt, führt Prompt-Injection als Risiko Nummer eins (LLM01:2025) und schreibt ausdrücklich, es sei unklar, ob es narrensichere Methoden zur Verhinderung gibt. Anbieter setzen Filter, Training und Bestätigungsdialoge ein – das senkt das Risiko, beseitigt es aber nicht.

Die „tödliche Dreifaltigkeit“

Das BSI greift einen Begriff auf, der das Kernproblem gut beschreibt: Gefährlich wird es, wenn ein Agent gleichzeitig

Zugriff auf vertrauliche Daten hat,
fremde, unkontrollierte Inhalte verarbeitet (Mails, Webseiten, Uploads) und
nach außen kommunizieren kann (Mails senden, Links aufrufen, Daten an Dienste übergeben).

Wer eine dieser drei Fähigkeiten wegnimmt, senkt das Risiko erheblich. Ein Agent, der nur deine eigenen Notizen zusammenfasst und nichts senden darf, ist deutlich harmloser als ein Assistent mit vollem Postfachzugriff und Versandrecht.

Schutzmaßnahmen laut BSI und OWASP

Maßnahme	Was das für Freelancer konkret heißt
Berechtigungen minimal halten	Kein Agent bekommt gleichzeitig Mail, Bankkonto und Dateiablage. Lieber mehrere eng begrenzte Workflows.
Menschliche Freigabe für kritische Aktionen	Senden, Bezahlen, Löschen, Weiterleiten nur nach Bestätigung (siehe Human in the Loop).
Fremde Inhalte kennzeichnen	In eigenen Automationen externe Texte klar als Daten markieren und vom Systemprompt trennen.
Ausgaben prüfen und Formate festlegen	Agent soll strukturierte Ergebnisse liefern, die ein fester Schritt prüft, bevor etwas passiert.
Protokolle kontrollieren	Aktionsverlauf regelmäßig ansehen, unerwartete Schritte abbrechen und Ursache klären.
Software aktuell halten	Agenten, Browser-Erweiterungen und verbundene Apps aktualisieren.

Zusammengefasst nach BSI „KI-Agenten“ und OWASP LLM01:2025; keine vollständige Liste.

Agenten-Browser und eingeloggte Sitzungen

Besonders heikel sind KI-Browser, die im Namen des Nutzers auf Websites klicken. OpenAI beschreibt für seinen Agenten Schutzmechanismen wie Bestätigungen vor folgenreichen Aktionen und einen Beobachtungsmodus auf sensiblen Seiten und empfiehlt, ohne Anmeldung zu arbeiten, wenn kein Login nötig ist. Die Grundregel gilt für alle Anbieter: Agenten nicht in Sitzungen arbeiten lassen, in denen du bei Bank, Steuerportal oder Kundensystemen eingeloggt bist, sofern es nicht unbedingt nötig ist. Hintergrund im Ratgeber KI-Browser Comet und Atlas.

Eigene Automationen mit Make oder n8n

Wer KI-Schritte in Make oder n8n einbaut, kann die Dreifaltigkeit selbst aufbrechen: Der KI-Schritt bekommt nur den Text, den er bewerten soll, und liefert zum Beispiel eine Kategorie zurück. Welche Aktion folgt, entscheidet ein fester Filter oder Router – nicht das Modell. Mail-Versand an neue Empfänger, Zahlungen oder Löschungen laufen über einen Freigabeschritt. Auch bei Tool-Anbindungen über das Model Context Protocol gilt: Nur die Werkzeuge freischalten, die der Agent wirklich braucht.

Warnsignale im Alltag

Der Agent schlägt Aktionen vor, die mit deiner Aufgabe nichts zu tun haben.
Zusammenfassungen enthalten Links, Aufforderungen oder Kontaktdaten, die nicht von dir stammen.
Ein Dokument „bittet“ den Agenten, Daten zu senden oder Einstellungen zu ändern.
Rechnungs- oder Zahlungsdaten tauchen in unerwartetem Zusammenhang auf – ein klassisches Betrugsmuster, siehe Rechnungsbetrug und Phishing.

Anbieterseiten

Affiliate-Hinweis (Werbung): Links mit Partnerstatus sind als „sponsored“ markiert. Für dich ändert sich der Preis nicht.

ChatGPT öffnen Profil
Claude öffnen Profil
Make.com öffnen Profil
n8n Cloud öffnen Profil

FAQ

Was ist Prompt-Injection in einem Satz?

Ein Angriff, bei dem einem KI-Modell über verarbeitete Inhalte wie Mails, Dokumente oder Webseiten Anweisungen untergeschoben werden, die es dann wie Befehle des Nutzers ausführt.

Betrifft das auch normale Chatbots ohne Agentenfunktionen?

Ja, ein Modell kann auch dort manipulierte Antworten geben. Gefährlicher wird es, sobald das System Aktionen ausführen oder Daten nach außen senden kann.

Kann ich Prompt-Injection vollständig verhindern?

Laut OWASP gibt es derzeit keine sichere Methode zur vollständigen Verhinderung. Ziel ist, die möglichen Folgen zu begrenzen.

Welche Maßnahme bringt am meisten?

Berechtigungen minimieren und kritische Aktionen nur nach menschlicher Bestätigung ausführen lassen. So kann ein manipulierter Agent wenig Schaden anrichten.

Muss ich KI-Agenten deshalb meiden?

Nicht unbedingt. Das BSI rät zu kritischer Prüfung, besonders bei Agenten mit weitreichenden Berechtigungen, und zu seriösen, transparenten Anbietern.