Prompt Injection einfach erklärt: Wie versteckte Befehle KI-Assistenten kapern und wie du dich schützt

Was mit Prompt Injection gemeint ist

Ein Prompt ist die Anweisung, die du einer KI gibst. Bei einer Prompt Injection schmuggelt eine dritte Person eigene Anweisungen hinein. OpenAI vergleicht das mit Phishing: So wie Betrugsmails Menschen zu etwas verleiten wollen, sollen versteckte Befehle eine KI dazu bringen, etwas zu tun, worum du sie nicht gebeten hast.

Das Sicherheitsprojekt OWASP unterscheidet zwei Formen. Bei der direkten Variante tippt jemand die manipulierende Anweisung selbst in den Chat. Gefährlicher für normale Nutzerinnen und Nutzer ist die indirekte Variante: Die Anweisung steckt in fremden Inhalten, die die KI für dich verarbeitet, zum Beispiel in einer Webseite, einer Datei oder einer E-Mail. Laut OWASP muss sie für Menschen nicht einmal sichtbar sein, es reicht, wenn die KI sie liest. Anthropic nennt als Beispiel unsichtbaren Text in einer harmlos wirkenden To-do-Liste oder E-Mail.

Das Grundproblem: Für ein Sprachmodell sind deine Anweisung und der Text, den es gerade liest, beides einfach Text. Es kann nicht immer zuverlässig unterscheiden, was ein Auftrag ist und was nur Inhalt.

Warum das mit KI-Agenten gefährlicher wird

Das BSI warnte schon 2023 vor dieser Schwachstelle, nachdem sie im Februar 2023 erstmals in der Wissenschaft beschrieben worden war. Damals ging es um Chatbots, die per Erweiterung Webseiten, Dokumente oder E-Mail-Postfächer auswerten. Heute können KI-Agenten selbst im Web surfen, Formulare ausfüllen und einkaufen. Damit steigt der mögliche Schaden.

OpenAI beschreibt typische Fälle: Du lässt eine KI Wohnungen recherchieren, und ein manipuliertes Inserat bringt sie dazu, genau dieses zu empfehlen. Oder du lässt einen Agenten deine E-Mails beantworten, und eine präparierte Mail verleitet ihn, deine Kontoauszüge an den Angreifer zu schicken. Laut OpenAI ähneln wirksame Angriffe inzwischen eher geschickter Überredung als plumpen Befehlen. Ein von externen Forschenden gemeldeter Angriff aus dem Jahr 2025 funktionierte bei OpenAIs Tests in der Hälfte der Fälle.

Das ist keine reine Theorie. Die Sicherheitsforscher von Unit 42 (Palo Alto Networks) berichteten im März 2026 über versteckte Anweisungen auf echten Webseiten, mit denen Angreifer KI-Systeme etwa bei der Prüfung von Werbeanzeigen oder bei Suchergebnissen täuschen wollten.

Was die Anbieter tun und warum das Problem bleibt

OpenAI setzt nach eigenen Angaben auf mehrere Schutzschichten: Training, damit Modelle eingeschleuste Befehle erkennen, automatische Überwachung, Rückfragen vor sensiblen Schritten wie einem Kauf und einen Beobachtungsmodus auf sensiblen Seiten, bei dem du den Tab offen halten musst. Anthropic prüft in Claude in Chrome eingehende Inhalte und jede geplante Aktion mit eigenen Erkennungsprogrammen. In internen Tests mit Claude Opus 4.8 lag die Erfolgsquote bekannter Angriffe laut Anthropic unter 0,08 Prozent. Das sind Herstellerangaben. Anthropic betont selbst, dass das Risiko nicht null ist, und auch OpenAI richtet seine Systeme darauf aus, dass einzelne Angriffe gelingen können.

OWASP formuliert es grundsätzlicher: Wegen der Art, wie generative KI funktioniert, sei unklar, ob es überhaupt narrensicheren Schutz gibt. Empfohlen werden deshalb Maßnahmen, die den Schaden begrenzen, etwa möglichst wenige Zugriffsrechte und menschliche Freigabe für riskante Aktionen. Das BSI hat 2026 eine Publikation zum Basisschutz gegen indirekte Prompt Injection in dokumentbasierten KI-Chats veröffentlicht, die sich vor allem an Entwicklerinnen und Entwickler richtet.

So schützt du dich im Alltag

Gib klare, enge Aufträge. OpenAI rät von Sätzen wie „Prüfe meine E-Mails und erledige, was nötig ist“ ab, weil versteckte Befehle dann leichteres Spiel haben. Besser: „Fasse die drei neuesten Mails von meinem Vermieter zusammen.“

Gib nur den Zugriff, der nötig ist. Wenn ein Agent nur recherchieren soll, nutze einen Modus ohne Anmeldung auf Webseiten, wie ihn OpenAI in ChatGPT Atlas anbietet. Anthropic empfiehlt für Claude in Chrome ein eigenes Browserprofil ohne Zugang zu Bank, Gesundheitsportal oder Behördenkonten.

Lies jede Bestätigung. Wenn der Agent vor dem Absenden, Kaufen oder Teilen fragt, prüfe, ob die Aktion und die weitergegebenen Daten wirklich zu deinem Auftrag passen. Auf sensiblen Seiten schaust du ihm bei der Arbeit zu.

Brich ab, wenn sich der Agent seltsam verhält. Anthropic nennt als Warnzeichen, wenn er plötzlich über fremde Themen spricht, unerwartete Seiten öffnet oder nach sensiblen Daten fragt.

Meide heikle Aufgaben. Anthropic rät ausdrücklich davon ab, Agenten Bankgeschäfte, Verträge oder Gesundheitsdaten erledigen zu lassen. Und auch ohne Agent gilt: Wenn eine KI eine Webseite oder ein Dokument zusammenfasst, kann die Zusammenfassung manipuliert sein. Kaufempfehlungen aus solchen Zusammenfassungen prüfst du besser an einer zweiten Quelle. Mehr Grundlagen zu Agenten findest du in unserem Beitrag „Was ist ein KI-Agent“.