Prompt Injection, Data Poisoning, Datenlecks: Warum klassische IT-Security für KI nicht ausreicht

Firewall eingerichtet, Virenschutz aktuell, Mitarbeiter sensibilisiert – und trotzdem angreifbar. Wer KI-Tools in den Unternehmensalltag integriert, bemerkt früher oder später: Die gewohnten Sicherheitskonzepte passen nicht mehr. Denn KI-Systeme bringen eine ganz eigene Klasse von Schwachstellen mit, die klassische IT-Security schlicht nicht auf dem Radar hat.

Eine neue Bedrohungsklasse

Der entscheidende Unterschied liegt in der Natur des Angriffs. Klassische Sicherheitswerkzeuge erkennen bekannte Angriffsmuster – sie vergleichen, was passiert, mit dem, was sie kennen. KI-Systeme hingegen sind über Prompts, Trainingsdaten und Ausgaben angreifbar. Das sind Vektoren, die in keinem klassischen Regelwerk auftauchen.

Die drei derzeit drängendsten Risikokategorien lauten: Prompt Injection, Data Poisoning und unbeabsichtigte Datenlecks. Sie sind nicht theoretischer Natur. Die OWASP LLM Top 10 – das branchenweit anerkannte Ranking kritischer Schwachstellen für Sprachmodell-Anwendungen – führt Prompt Injection bereits zum zweiten Mal in Folge als die kritischste LLM-spezifische Schwachstelle überhaupt. Und laut dem CrowdStrike Global Threat Report 2026 speisten Bedrohungsakteure im Jahr 2025 bei über 90 Organisationen manipulierte Prompts in legitime KI-Tools ein – mit dem Ziel, Zugangsdaten und Kryptowährungen zu stehlen. Insider bei CrowdStrike fassten den Trend auf den Punkt: „Prompts are the new malware.“ Die Zahl KI-gestützter Angriffe stieg im Jahresvergleich um 89 Prozent.

Prompt Injection: Die unsichtbare Umleitung

Bei einer Prompt-Injection-Attacke bringen Angreifer ein KI-System dazu, bösartige Anweisungen auszuführen, die in scheinbar harmlosen Inhalten versteckt sind – etwa in E-Mails, Webseiten oder Dokumenten. Ein besonders drastisches Beispiel: Im Juni 2025 entdeckten Sicherheitsforscher die Schwachstelle CVE-2025-32711 in Microsoft 365 Copilot – bewertet mit einem CVSS-Score von 9,3. Ein einziges präpariertes E-Mail-Objekt reichte aus, damit Copilot interne Dateien auslas und deren Inhalte an einen vom Angreifer kontrollierten Server schickte. Kein Klick des Nutzers nötig.

Noch gefährlicher wird es bei KI-Agenten, die eigenständig handeln. Anders als ein klassisches Phishing-Opfer braucht ein manipulierter Agent kein menschliches Zutun: Er ruft APIs auf, manipuliert Datenbanken, gibt Code frei – und hat dabei meist weitreichendere Zugriffsrechte als der Mensch, den er ersetzen soll. Ein Agent, der eigentlich nur Rechnungen zusammenfassen soll, kann durch eine gezielte Nachricht dazu gebracht werden, diese an externe Adressen weiterzuleiten. Diesen Aspekt haben wir bereits ausführlich behandelt: Wie KI-Agenten unbemerkt Schaden anrichten, zeigt unser Artikel Fotos weg, Datenbank gelöscht: Was KI-Agenten mit echten Dateisystemen anrichten.

Data Poisoning: Der vergiftete Ursprung

Beim Data Poisoning greifen Angreifer nicht das laufende Modell an, sondern dessen Fundament: die Trainingsdaten. Vergiftete Modelle können auf den ersten Blick völlig normal wirken – enthalten jedoch im Verborgenen Verzerrungen oder versteckte Hintertüren, die erst aktiviert werden, wenn ein bestimmter Auslöser erscheint. Je nach Angriffsziel klassifiziert das Modell Eingaben falsch, entwickelt systematische Fehler oder lässt sich über sogenannte Backdoor-Trigger gezielt steuern. Die Integrität eines KI-Modells steht und fällt mit der Qualität seiner Trainingsdaten – was Datengovernance vom technischen Detail zur strategischen Kernfrage macht.

Datenlecks: Oft unbeabsichtigt, oft teuer

Die dritte Risikokategorie ist weniger spektakulär, aber mindestens genauso kostspielig: unbeabsichtigte Datenlecks durch Fehlkonfiguration. Viele kostenlose oder freemium KI-Tools sind standardmäßig so konfiguriert, dass Nutzerdaten ins Modelltraining einfließen – ein Opt-out muss aktiv gewählt und dokumentiert werden. Wer das übersieht, riskiert DSGVO-Verstöße. Hinzu kommt: 97 Prozent der Unternehmen, die bereits KI-Sicherheitsvorfälle meldeten, verfügten laut einer aktuellen Erhebung nicht über angemessene KI-Zugriffskontrollen.

Was klassische Security nicht kann – und was stattdessen hilft

Das Kernproblem: Klassische Sicherheitssysteme erkennen bekannte Angriffsmuster. Sie können nicht beurteilen, ob ein Prompt bösartig ist, ob Trainingsdaten manipuliert wurden oder ob ein Modell gerade dabei ist, sensible Daten zu exfiltrieren. KI-Sicherheit braucht deshalb eigene Ansätze.

Konkret bedeutet das für Unternehmen:

Input-Validierung und Prompt-Monitoring: Alle Eingaben an KI-Systeme sollten auf verdächtige Muster geprüft werden, bevor sie das Modell erreichen.
Least Agency statt Least Privilege: KI-Agenten erhalten nicht nur keine Rechte, die sie nicht brauchen – ihnen wird der Zugriff auf entsprechende Tools gänzlich entzogen. Ein Agent, der keine Datenbank löschen muss, bekommt schlicht keinen Zugang zum Datenbank-Tool.
Behavioral Baselines und Session-Isolation: Agenten zeigen charakteristische Verhaltensmuster. Weicht ein Agent signifikant ab – durch ungewöhnliche Zugriffszeiten oder untypische Tool-Kombinationen – ist das ein klares Warnsignal.
Datengovernance für Trainingsdaten: Wer KI mit eigenen Daten trainiert oder fine-tunet, braucht klare Prozesse zur Datenqualitätssicherung und Herkunftsdokumentation.
Opt-out dokumentieren: Bei kommerziellen KI-Diensten aktiv prüfen, ob Trainingsdaten-Sharing deaktiviert ist – und diesen Status dokumentieren.

Mit dem EU AI Act, der für Hochrisikosysteme ab August 2026 gilt und Strafen von bis zu 7 Prozent des weltweiten Jahresumsatzes vorsieht, kommt regulatorischer Druck dazu. Er verlangt dokumentierte KI-Governance, Datennachvollziehbarkeit und menschliche Aufsicht. Wer jetzt beginnt, diese Strukturen aufzubauen, ist doppelt vorbereitet: gegen Angreifer und gegen Bußgelder.

Governance wird zur Kernkompetenz

Cybersecurity entwickelt sich im KI-Zeitalter von einer klassischen Schutzfunktion zu einer Frage der organisatorischen Handlungsfähigkeit. Entscheidend ist nicht mehr nur, ob Angriffe verhindert werden – sondern ob Unternehmen in der Lage sind, technologische Veränderungen kontinuierlich in funktionierende Sicherheitsprozesse zu übersetzen. KI Governance wird damit zur strategischen Kernkompetenz, nicht zur Nebensache.

Für Unternehmen, die KI gerade erst breit einführen – und das tun laut Gartner rund 80 Prozent aller Unternehmen bis 2026 –, ist die Botschaft klar: Die Skalierung von KI-Anwendungen muss von Anfang an mit einem angepassten Sicherheitskonzept einhergehen. Wer erst wartet, bis etwas passiert, zahlt doppelt. Wie verantwortungsvolles KI-Deployment in der Praxis aussieht, haben wir am Beispiel von REWE digital beschrieben: Vom Piloten zum Produkt: Was REWE digital über das Skalieren von Innovationen verrät. Und wer verstehen möchte, wie KI-Agenten künftig autonom im Namen von Nutzern handeln, findet hier einen guten Einstieg: Consumer Agents im E-Commerce: Wenn KI für uns einkauft.

Quellen

Beitragsbild: Foto von Tima Miroshnichenko auf Pexels

Marktnotiz

Marketing, E-Commerce & Startups – kompakt eingeordnet