Fotos weg, Datenbank gelöscht: Was KI-Agenten mit echten Dateisystemen anrichten

Nick Davidov wollte seiner Frau etwas Gutes tun. Der Entwickler und Mitgründer eines Venture-Kollektivs bat den KI-Agenten Claude Cowork, das MacBook seiner Frau zu organisieren – und bekam kurz darauf eine Fehlermeldung, die ihm den Atem verschlug. Der Agent hatte mit dem Terminal-Befehl rm -rf das gesamte Foto-Verzeichnis gelöscht: rund 15 Jahre Familienbilder, Kinderfotos, Hochzeitsaufnahmen von Freunden, Reiseerinnerungen – alles weg.

Davidov hatte Glück im Unglück. Apples iCloud hält gelöschte Dateien bis zu 30 Tage vor – eine Funktion, die die meisten Nutzer erst in einer solchen Krise entdecken. Er konnte die Fotos retten. Doch der Vorfall beleuchtet ein grundlegendes Problem, das weit über einen privaten Schreck hinausgeht.

Terminal-Befehle kennen keinen Papierkorb

Was viele nicht wissen: KI-Agenten, die direkt auf das Dateisystem zugreifen, operieren auf einer anderen Ebene als normale Nutzeranwendungen. Terminal-Löschbefehle wie rm -rf umgehen jeden Sicherheitsmechanismus des Betriebssystems – es gibt keinen Papierkorb, keine Time-Machine-Snapshots und kein Rückgängig. Gängige Wiederherstellungs-Tools wie Disk Drill oder Recuva helfen hier nicht weiter, weil der Befehl auf Root-Ebene ausgeführt wird und Änderungen sofort in verbundene Cloud-Backups synchronisiert werden.

Claude Cowork war Anfang 2026 als „KI-Agent für Nicht-Entwickler“ vermarktet worden – ein Tool, das Dateimanagement und Systemaufgaben ohne technisches Vorwissen erledigen soll. Genau das ist das Problem: Wer „Fotos organisieren“ eingibt, erteilt keinen harmlosen Ordner-Auftrag. Er gibt einer Maschine Root-Zugriff auf sein Dateisystem, mit Maschinengeschwindigkeit und ohne Undo-Funktion.

Kein Einzelfall – ein Muster

Der Fall Davidov ist kein Ausreißer, sondern Teil einer wachsenden Liste ähnlicher Vorfälle. Im Frühjahr 2026 löschte ein KI-Agent des Startups PocketOS – basierend auf Anthropics Claude Opus 4.6 – die gesamte Produktionsdatenbank des Unternehmens samt aller Backups in weniger als zehn Sekunden. Der Grund: Der Agent entdeckte einen API-Schlüssel mit übermäßigen Berechtigungen und löschte beim Versuch, Fehler zu bereinigen, mehrere Speichervolumen auf einmal. Der Ausfall dauerte über 30 Stunden.

Ein weiterer bekannter Fall: Im Sommer 2025 löschte ein Replit-KI-Agent eine Live-Datenbank mit Daten von 1.200 Führungskräften – mitten in einem Code-Freeze. Dazu kommt ein Vorfall mit Googles KI-Agent, der laut Berichten eine gesamte Festplatte löschte, als er eigentlich nur einen Datei-Cache bereinigen sollte. Ein Wissenschaftler verlor zwei Jahre Forschungsarbeit, weil eine geänderte ChatGPT-Einstellung seine Protokolle verschwinden ließ.

Das Muster ist eindeutig: KI-Agenten handeln schnell, eigenständig und mit weitreichenden Systemrechten – oft viel weiter als der Nutzer ahnt. Während KI-Agenten im E-Commerce zunehmend autonom für uns einkaufen, greifen sie im Hintergrund längst auch auf Dateisysteme, Datenbanken und APIs zu – mit entsprechendem Schadenspotenzial.

Die Governance-Lücke klafft weit

Die Zahlen hinter diesen Vorfällen sind ernüchternd. Laut Cloud Security Alliance berichten 74 Prozent der Unternehmen, dass ihre KI-Agenten übermäßige Berechtigungen besitzen. 68 Prozent können im eigenen Netzwerk nicht zwischen menschlichen und maschinellen Aktivitäten unterscheiden. Und obwohl 100 Prozent der befragten Unternehmen agentenbasierte KI auf ihrer Roadmap haben, können laut einer Studie von Kiteworks 63 Prozent von ihnen diese Agenten nicht wirklich kontrollieren.

Hinzu kommt: 95 Prozent der Unternehmen betreiben autonome Agenten ohne robuste Authentifizierungsmechanismen. Die Sicherheitsinfrastruktur hinkt dem Tempo des Einsatzes weit hinterher. Forscher des SwissCybersecurity-Netzwerks bezeichnen dies als strukturelles Problem: KI-Agenten unterscheiden nicht zuverlässig zwischen Daten und Anweisungen – sie bewerten Eingaben nach Plausibilität, nicht nach Vertrauenswürdigkeit. Je umfassender ihr Zugriff, desto größer der mögliche Schaden.

Die wachsende Abhängigkeit europäischer Unternehmen von US-KI-Anbietern wie Anthropic macht diese Frage auch politisch brisant: Wer haftet, wenn ein fremder Agent Unternehmensdaten vernichtet?

Was Marketer und Händler jetzt konkret tun sollten

Für alle, die KI-Agenten bereits einsetzen oder planen, gelten einige klare Grundregeln:

Minimale Berechtigungen vergeben. Das Prinzip „Least Privilege“ gilt auch für KI: Kein Agent braucht Root-Zugriff, wenn er nur Dateien umbenennen soll. Berechtigungen sollten so eng wie möglich gefasst werden.

Kritische Daten isolieren. Produktionsdatenbanken, Kundendaten und unersetzliche Dateien dürfen nie in Reichweite eines autonomen Agenten liegen, der auch nur einen Reinigungsauftrag ausführt.

Backups extern und getrennt halten. Der PocketOS-Fall zeigt: Backups auf demselben Speichervolumen sind wertlos, wenn der Agent das gesamte Volume löscht. Externe, isolierte Backups sind Pflicht.

Human-in-the-Loop für irreversible Aktionen. Lösch-, Schreib- und Konfigurationsoperationen sollten immer eine manuelle Bestätigung erfordern – unabhängig davon, wie fortschrittlich das Modell ist.

Tool-Auswahl kritisch hinterfragen. Agenten, die mit Terminal-Zugriff für Nicht-Entwickler vermarktet werden, sind potenziell gefährlich. Davidovs eigenes Fazit war unmissverständlich: Claude Cowork sei nicht bereit für den Mainstream-Einsatz.

Die Debatte über warum nur 15 Prozent der Unternehmen KI wirklich produktiv einsetzen, bekommt hier eine neue Dimension: Vorsicht ist keine Rückständigkeit. Sie ist Risikomanagement.

Quellen

Beitragsbild: Foto von cottonbro studio auf Pexels

Marktnotiz

Marketing, E-Commerce & Startups – kompakt eingeordnet