Phishing galt lange als rein menschliches Problem: Eine täuschend echte E-Mail, ein unbedachter Klick, ein abgegriffenes Passwort. Aktuelle Berichte zeigen, dass sich das Bild verschiebt. Angreifer zielen zunehmend auch auf KI-Systeme, die E-Mails und andere Inhalte automatisiert verarbeiten. Eine einzige präparierte Nachricht kann damit gleich zwei Ziele haben: die Person im Postfach und die Software, die dieses Postfach im Hintergrund auswertet.
Für Unternehmen, die KI-Agenten in Geschäftsprozesse einbinden, ist das mehr als eine Randnotiz. Ein Agent ist in diesem Zusammenhang ein KI-System, das nicht nur Texte erzeugt, sondern eigenständig Schritte ausführt: Mails lesen, Daten aus einem System holen, Tickets anlegen, Antworten verschicken. Genau diese Handlungsfähigkeit macht ihn nützlich – und zugleich angreifbar.
Die neue Angriffsfläche: Inhalte als Anweisung
Der Kern des Problems liegt darin, dass Sprachmodelle nicht sauber zwischen Daten und Befehlen unterscheiden. Alles, was in den Kontext des Modells gelangt, kann als Anweisung gelesen werden. Wenn ein Agent eine eingehende E-Mail verarbeitet, verarbeitet er damit auch Text, den eine fremde Person formuliert hat – und auf den das eigene Unternehmen keinerlei Kontrolle hat.
Fachlich spricht man von Prompt Injection: dem Einschleusen von Anweisungen über Inhalte, die das System ohnehin verarbeitet. Das kann eine E-Mail sein, ebenso aber ein PDF-Anhang, ein Formulareintrag, ein Kommentar auf einer Website oder eine Seite, die der Agent beim Recherchieren abruft. Die Angriffsfläche entsteht dort, wo fremder Input auf Handlungsrechte trifft.
Der entscheidende Unterschied zum klassischen Phishing: Ein Mensch wird typischerweise misstrauisch, wenn eine Mail ihn auffordert, Kundendaten zu exportieren oder eine Zahlung umzuleiten. Ein Agent kennt dieses Misstrauen nicht von selbst. Er arbeitet die Anweisung ab, sofern niemand ihm Grenzen gesetzt hat.
Warum klassische Schutzmaßnahmen nicht reichen
Spamfilter, Awareness-Schulungen und Zwei-Faktor-Authentifizierung bleiben richtig und wichtig. Sie adressieren jedoch den menschlichen Teil der Kette. Eine Nachricht, die unauffällig wirkt und erst in der maschinellen Verarbeitung ihre Wirkung entfaltet, schlüpft durch dieses Raster.
Hinzu kommt ein strukturelles Problem: Agenten laufen häufig im Hintergrund. Was ein Mitarbeiter tut, ist nachvollziehbar und fällt irgendwann auf. Was ein Automatisierungsschritt nachts um drei getan hat, bemerkt man nur, wenn es protokolliert und ausgewertet wird. Fehlt dieses Protokoll, fehlt auch die Chance, einen Vorfall früh zu erkennen.
Was in Agenten-Projekten von Anfang an gehört
Sicherheit lässt sich bei KI-Agenten schlecht nachrüsten, weil sie an der Architektur hängt: an Rechten, Schnittstellen und Freigabelogik. Folgende Punkte sollten deshalb bereits in der Konzeptphase auf dem Tisch liegen:
- Berechtigungen minimal halten. Ein Agent erhält nur Zugriff auf die Systeme und Datenfelder, die er für seine Aufgabe tatsächlich benötigt – und bevorzugt lesend. Schreibende oder löschende Rechte sind die Ausnahme, nicht der Standard.
- Kritische Aktionen an Bestätigung koppeln. Zahlungen, Vertragsdaten, Massenversand, Datenexporte: Solche Schritte sollten einen menschlichen Freigabepunkt haben, statt vollautomatisch zu laufen.
- Fremden Input als unsicher behandeln. Inhalte von außen gehören technisch getrennt von den eigenen Systemanweisungen und sollten nicht automatisch denselben Status erhalten.
- Protokollieren, was der Agent tut. Jede ausgelöste Aktion mit Zeitpunkt, Auslöser und Ergebnis – nachvollziehbar für Menschen, die den Agenten nicht gebaut haben.
- Auffälligkeiten überwachen. Ungewöhnliche Mengen, ungewöhnliche Empfänger, ungewöhnliche Uhrzeiten sind klassische Signale und lassen sich auch für Agenten auswerten.
- Den Notaus einplanen. Es braucht einen klar definierten Weg, einen Agenten im Verdachtsfall schnell abzuschalten, ohne den gesamten Geschäftsbetrieb zu stoppen.
Auch Websites sind betroffen
Die Diskussion betrifft nicht nur interne Automatisierung. Wer auf einer Website einen Assistenten einbindet, der Formulareingaben, hochgeladene Dokumente oder Chatnachrichten verarbeitet, öffnet denselben Kanal: Nutzerinnen und Nutzer liefern Text, den das System interpretiert. In einem TYPO3-Projekt heißt das konkret, dass Redaktions- und Integrationsschichten mitgedacht werden müssen – etwa die Frage, welche Inhalte aus dem System ein Assistent überhaupt sehen darf und welche Aktionen er in Richtung Backend auslösen kann.
Einordnung für Web- und Softwareprojekte
KI-Agenten verschieben den Sicherheitsfokus: Nicht mehr nur Zugangsdaten sind das Ziel, sondern die Verarbeitungslogik selbst. Für Projekte heißt das, Rechtekonzept, Freigabeschritte und Protokollierung genauso früh zu klären wie die eigentliche Funktion – Sicherheit ist hier ein Architekturthema, kein Zusatzmodul am Projektende. Wer das berücksichtigt, kann Automatisierung ausbauen, ohne jede neue Integration zu einem unkalkulierbaren Risiko zu machen.
