Prompt Injection ist das neue Social Engineering. Die meisten KI-Sicherheitsprogramme sind nicht darauf ausgelegt

Was ist Prompt Injection?

Prompt Injection ist ein Angriff, bei dem bösartige Anweisungen in Inhalten versteckt werden, die ein KI-System liest, anstatt sie in ausführbarem Code zu platzieren. Ein Dokument, eine E-Mail, ein Support-Ticket oder ein Webformular kann eine versteckte Zeile enthalten, die die KI anweist, ihre ursprüngliche Aufgabe zu ignorieren und stattdessen einer neuen zu folgen. Das funktioniert ähnlich wie ein gefälschtes internes Memo, das einen neuen Mitarbeiter in die Irre führt, der keinen Grund hat, die Anweisung zu hinterfragen. Da das Modell keine zuverlässige Methode besitzt, um legitime Anweisungen von solchen zu unterscheiden, die in den zu verarbeitenden Inhalten verborgen sind, führt es diese oft aus. Prompt Injection steht seit der ersten großen Überarbeitung der OWASP Top 10 für Anwendungen mit großen Sprachmodellen an der Spitze der Risikoliste (OWASP GenAI Security Project, 2025).

Ein Support-Ticket enthielt das Wort „Rechnung“. Ein KI-Assistent las es, folgte der darin versteckten Anweisung und leitete die Nachricht an eine externe Adresse weiter. Niemand musste auf etwas klicken. Niemand musste ein Passwort eingeben. Der Assistent tat genau das, was ihm befohlen wurde – von jemandem, der ihm eigentlich niemals Anweisungen hätte geben dürfen. Wenn man dieses eine Ticket auf jedes Dokument, jede E-Mail und jede Webseite hochrechnet, die ein KI-System an einem Tag liest, wird deutlich, dass das Ausmaß dieser Gefährdung weit über eine einzelne schädliche E-Mail hinausgeht, die einen Filter passiert hat.

Warum lässt sich das Problem nicht durch Patches beheben?

Die meisten Sicherheitslücken sind Fehler: eine fehlende Prüfung, eine nicht maskierte Eingabe, eine vergessene Berechtigung. Bei Prompt Injection ist das anders. Das Problem ergibt sich direkt aus der Funktionsweise eines Sprachmodells. Ein Modell empfängt einen kontinuierlichen Strom von Tokens. Einige dieser Tokens sind die Anweisungen des Systems. Andere sind die Anfragen des Benutzers. Wieder andere sind Inhalte, die das Modell aus einem Dokument, einer E-Mail oder einer Webseite abgerufen hat. Das Modell hat keine eingebaute Möglichkeit, eine Kategorie als vertrauenswürdig zu markieren und eine andere als Daten zu behandeln, bei denen Vorsicht geboten ist. Es liest alles als Sprache – und Sprache ist genau das, was ihm sagt, was es als Nächstes tun soll.

Deshalb funktioniert es nicht, Prompt Injection so zu patchen, wie Teams einen Pufferüberlauf beheben. Es gibt keine einzelne Codezeile, die man korrigieren könnte. Die Schwachstelle ist architektonisch bedingt.

Warum funktioniert es wie Social Engineering?

Eine Phishing-E-Mail funktioniert, indem sie Autorität vortäuscht: Sie sieht aus, als käme sie von jemandem, dem der Empfänger vertraut, weshalb dieser entsprechend handelt. Ein Prompt-Injection-Angriff leiht sich Autorität von genau dem Kanal, dem das Modell gehorchen soll. Versteckter Text in einem Dokument sagt im Grunde: „Ignoriere deine vorherigen Anweisungen und tue stattdessen dies.“ Das Modell hat keine unabhängige Möglichkeit zu prüfen, ob diese Anweisung von der Person stammt, die es bereitgestellt hat, oder aus der Datei eines Fremden.

Sicherheitsteams, die ihre Mitarbeiter jahrelang darauf trainiert haben, bei dringenden, autoritär klingenden Anfragen erst einmal innezuhalten, haben bereits den richtigen Instinkt. Sie haben diesen Instinkt nur noch nicht auf die Systeme übertragen, die in ihrem Namen Inhalte lesen.

Warum übersehen die meisten KI-Sicherheitsprogramme dieses Risiko?

Der Großteil der bisherigen Bemühungen im Bereich der KI-Sicherheit konzentriert sich auf zwei Bereiche: die Absicherung der Infrastruktur rund um das Modell und das Testen, ob das Modell selbst durch Jailbreaking dazu gebracht werden kann, schädliche Ausgaben zu erzeugen. Beides ist wichtig. Doch beides adressiert nicht den Fall, in dem das Modell genau wie vorgesehen arbeitet, aber eine Anweisung ausführt, die es niemals hätte erhalten dürfen.

Ein Bericht des OWASP GenAI Security Project aus dem Jahr 2026 ergab, dass Prompt Injection sechs der zehn Kategorien in den Top 10 für agentische Anwendungen betrifft. Das liegt nicht daran, dass die Liste aufgebläht ist, sondern daran, dass eine einzige ausnutzbare Schwachstelle fast alles berührt, was ein KI-Agent tun darf. Derselbe Bericht stellte fest, dass nur 37 % der Unternehmen eine Richtlinie zur Erkennung von „Shadow AI“ haben. Das bedeutet, dass die meisten Organisationen keinen Überblick über den Großteil der KI-Systeme haben, die bereits ihre Inhalte lesen (OWASP GenAI Security Project, „State of Agentic AI Security and Governance“, zitiert in Help Net Security, Juni 2026).

Wie sieht Prompt Injection in der Praxis aus?

Capsule Security dokumentierte eine indirekte Prompt-Injection-Schwachstelle in Salesforce Agentforce. Ein Angreifer bettet Anweisungen in ein öffentlich zugängliches Lead-Formular ein. Wenn ein Mitarbeiter den Agenten bittet, diesen Lead zu überprüfen, ruft dieser CRM-Daten ab und sendet sie per E-Mail an eine Adresse, die der Angreifer kontrolliert. Salesforce hat das spezifische Szenario behoben, doch bei erneuten Tests durch Capsule Security stellte sich heraus, dass der E-Mail-Kanal bei „Custom Topics“ weiterhin angreifbar war. Microsoft hatte eine eigene Version desselben grundlegenden Fehlers in Copilot Studio, die im Januar 2026 als CVE-2026-21520 gepatcht wurde (Capsule Security; CSO Online, 2026).

In beiden Fällen war weder ein gestohlenes Passwort noch ein kompromittierter Login erforderlich. Es reichte aus, dass ein Mitarbeiter eine Routineaufgabe ausführte: Er bat einen KI-Agenten, sich ein Formular anzusehen, das jeder im Internet hätte ausfüllen können.

Wichtige Erkenntnis: Der Exploit hat sich nicht geändert, nur der Kanal.

Prompt Injection ist aus demselben Grund erfolgreich, aus dem Social Engineering schon immer erfolgreich war: Es leiht sich Vertrauen von einem Kanal, dem das Ziel gehorchen soll. Das Neue ist der Kanal, nicht der zugrunde liegende Mechanismus. Sicherheitsprogramme, die bereits wissen, wie man durch Verifizierungsgewohnheiten gegen menschliche Manipulation vorgeht, haben einen Vorsprung. Sie müssen diese Disziplin lediglich auf das ausweiten, was ihre KI-Systeme lesen und worauf sie reagieren.

Was sollten Sicherheitsteams tun?

Dies erfordert eine Neuausrichtung dessen, was ein KI-Governance-Programm abdecken muss. Es reicht nicht aus, ein Modell vor der Bereitstellung zu prüfen und anzunehmen, dass die Arbeit damit erledigt ist. Teams benötigen Transparenz darüber, welchen Inhalten ihre KI-Agenten täglich ausgesetzt sind, Verifizierungs-Checkpoints, bevor ein Agent auf Inhalte aus externen oder nicht vertrauenswürdigen Quellen reagiert, und dieselbe Kultur eines gesunden Misstrauens, die bereits bei E-Mail- und telefonbasiertem Social Engineering etabliert ist – nun erweitert auf die KI-Systeme, die heute im Namen der Mitarbeiter lesen.

Dies verändert auch, wer mit am Tisch sitzen muss. Prompt Injection ist kein rein technisches Problem, für das allein die Technik zuständig ist, und auch kein reines Bewusstseinsproblem für die Schulungsabteilung. Es liegt genau an der Schnittstelle, an der diese beiden Bereiche in der Vergangenheit oft nicht miteinander kommuniziert haben.

Einige Unternehmen schließen diese Lücke bereits auf die gleiche Weise, wie sie mit Phishing umgehen: Ein erkannter Injektionsversuch wird zum neuen Szenario für Mitarbeiterschulungen, anstatt nur als einzeiliger Vorfallbericht abgelegt und vergessen zu werden. Das ist dieselbe Logik, die bereits bei E-Mail- und sprachbasiertem Social Engineering funktioniert. Die Manipulation auf KI-Ebene erfordert kein völlig neues Regelwerk, sondern lediglich die Erweiterung des bestehenden auf eine neue Angriffsfläche.

Die Unternehmen, die sich am schnellsten an diesen Wandel anpassen, werden nicht diejenigen mit dem neuesten KI-Filter-Tool sein. Es werden diejenigen sein, die Social Engineering bereits als menschliches Problem verstanden und Prompt Injection als dasselbe Problem in einer neuen Oberfläche erkannt haben. Der Kanal hat sich geändert, die Angriffsmethode nicht.

Häufig gestellte Fragen

Kann MFA einen Prompt-Injection-Angriff verhindern? Nicht direkt. Der Angriff stiehlt weder ein Passwort noch ein Token. Er manipuliert lediglich, was das KI-System mit einer Anweisung tut, für die es bereits eine Leseberechtigung hat.

Ist Prompt Injection dasselbe wie ein Jailbreak? Nein. Ein Jailbreak versucht, das Modell dazu zu bringen, seine eigenen Inhaltsregeln zu verletzen. Prompt Injection nutzt externe Inhalte, um das Modell dazu zu bewegen, eine andere Aufgabe auszuführen als die, die ihm ursprünglich gestellt wurde, ohne dass das Modell dabei eine seiner eigenen Regeln bricht.

Welche Arten von Systemen sind am anfälligsten? Jeder KI-Agent mit Zugriff auf ein CRM, ein Ticketsystem, E-Mails oder externe Dokumente. Das betrifft nahezu jeden realen KI-Einsatz im Unternehmen, der in der Lage ist, aktiv zu handeln, anstatt nur zu reagieren.

Wer sollte die Verteidigung leiten, die IT-Sicherheit oder die Schulungsabteilung? Keiner von beiden allein. Der Bericht von OWASP verortet das Problem genau dort, wo Technik und Anwenderschulung normalerweise nicht miteinander sprechen. Die Lösung funktioniert daher nur, wenn beide Teams das Gesamtbild teilen.