Innerhalb weniger Tage sind drei Meldungen erschienen, die auf dieselbe Frage zulaufen: Woher bekommen KI-Assistenten ihren Kontext, und wer kontrolliert, was dabei hineinfließt? Für Unternehmen, die KI in bestehende Abläufe einbauen, ist das keine akademische Debatte, sondern eine Frage von Berechtigungen, Datenhaltung und Prüfprozessen.
Computer History: der Arbeitsalltag als durchsuchbare Timeline
OpenAI hat eine Funktion namens Computer History vorgestellt. Sie zeichnet auf dem Mac Klicks, Tastatureingaben und App-Wechsel auf und macht daraus eine durchsuchbare Timeline, auf die ChatGPT und Codex – OpenAIs Werkzeug für Programmieraufgaben – zugreifen können. Der Nutzen liegt auf der Hand: Ein Assistent, der weiß, in welchem Ticket, welcher Datei und welchem Tool zuletzt gearbeitet wurde, muss weniger erfragen und liefert passendere Antworten.
Bemerkenswert ist die technische Umsetzung. Die Aufzeichnungen werden laut Bericht lokal als unverschlüsselte Markdown-Dateien abgelegt. Nach Angaben von OpenAI werden sie nicht für das Training von Modellen verwendet. Beides zusammen ergibt ein gemischtes Bild: Die Daten verlassen das Gerät nicht automatisch, liegen dort aber in einem Format, das jede Person und jeder Prozess mit Dateizugriff im Klartext lesen kann.
Für Unternehmen heißt das konkret: Eine solche Timeline enthält potenziell Passworteingaben, Kundennamen, Vertragsinhalte, interne Dokumenttitel und Fragmente aus Systemen, für die es klare Zugriffsregeln gibt. Wer die Funktion einsetzen möchte, sollte vorab klären, auf welchen Geräten sie überhaupt aktiv sein darf, wie die Dateien in Backups und Endpoint-Management behandelt werden und welche Rollen im Unternehmen darauf zugreifen können.
Prompt Injections im Gerichtssaal
Wie leicht sich KI-gestützte Prüfprozesse aushebeln lassen, zeigt ein Fall aus Connecticut. Ein Kläger hatte unsichtbare Anweisungen in Gerichtsschriftsätze eingebettet: in 3-Punkt-Schrift und weißer Schrift auf weißem Hintergrund. Für menschliche Leser war der Text praktisch nicht wahrnehmbar, ein automatisiertes System hätte ihn dagegen ohne Weiteres als Anweisung interpretieren können. Ziel war offenbar, ein mögliches KI-Prüfsystem des Gerichts zu beeinflussen.
Solche Manipulationen heißen Prompt Injection: Angreifer schmuggeln Anweisungen in Inhalte, die ein Sprachmodell verarbeitet, und das Modell behandelt sie wie legitime Vorgaben des Nutzers. Der zuständige Richter Spader verglich den Versuch mit einer heimlichen Beeinflussung von Geschworenen und entzog dem Kläger das Recht zur elektronischen Einreichung.
Der Vorfall ist auch deshalb lehrreich, weil er keine ausgefeilte Technik erforderte. Es genügten Schriftgröße und Schriftfarbe in einem gewöhnlichen Dokument. Genau dieses Muster lässt sich auf viele Geschäftsprozesse übertragen, in denen Dokumente von außen eingehen und maschinell vorsortiert oder bewertet werden – Bewerbungen, Angebote, Reklamationen, Rechnungen, Förderanträge.
Konsequenzen für automatisierte Prüfprozesse
Aus dem Fall lassen sich einige praktische Regeln ableiten, die unabhängig vom eingesetzten Modell gelten:
- Eingehende Inhalte sind Daten, keine Anweisungen. Systemvorgaben und externe Dokumente müssen im Prompt klar getrennt bleiben, damit Text aus einer PDF-Datei nicht die Rolle einer Instruktion übernehmen kann.
- Text vor der Verarbeitung normalisieren. Formatierungen wie winzige Schriftgrößen, weiße Schrift oder unsichtbare Zeichen sollten beim Extrahieren auffallen und protokolliert werden, statt stillschweigend im Kontextfenster zu landen.
- Keine folgenreichen Entscheidungen ohne menschliche Freigabe. Wo eine KI-Bewertung über Ablehnung, Priorisierung oder Zahlung mitentscheidet, braucht es eine nachvollziehbare Kontrollinstanz.
- Auffälligkeiten sichtbar machen. Ein Prüfschritt, der Manipulationsversuche als Befund ausgibt, ist wertvoller als einer, der sie nur ignoriert.
Watermarking: Erkennung mit klaren Grenzen
Die dritte Meldung betrifft die Gegenrichtung – die Frage, ob ein Text von einem Modell stammt. Anthropic will eine Prüf-API für Drittanbieter bereitstellen, mit der sich mit Claude generierte Texte zuverlässiger erkennen lassen. Das Verfahren basiert auf Googles SynthID-Methode und verändert die Zufallsquelle bei der Wortwahl. Die Textqualität soll darunter nach Angaben des Unternehmens nicht leiden.
Ebenso wichtig sind die genannten Grenzen: Bei stark faktenbasierten Texten, bei Code und bei starkem Umschreiben kann das Verfahren an seine Grenzen stoßen. Das ist plausibel, denn das Wasserzeichen lebt von Spielraum in der Wortwahl. Wo es kaum Alternativen gibt oder wo ein Text nachträglich umformuliert wird, verschwindet das Signal.
Für die Praxis folgt daraus eine nüchterne Erwartungshaltung. Ein Wasserzeichen kann ein Hinweis unter mehreren sein, etwa in Redaktionsprozessen oder bei der Sichtung eingesandter Inhalte. Es ist kein Beweismittel und deckt zudem nur Texte des jeweiligen Anbieters ab. Prozesse, die auf einer eindeutigen Ja-Nein-Antwort aufbauen, werden mit dieser Technik nicht verlässlich funktionieren. Auch der Zeitpunkt der Verfügbarkeit ist bislang offen; angekündigt ist die Bereitstellung, nicht der Start.
Der gemeinsame Nenner: Freigaben statt Vertrauen
Alle drei Entwicklungen zeigen dieselbe Verschiebung. KI-Assistenten werden nützlicher, je mehr Kontext sie erhalten – und angreifbarer, je weniger geprüft ist, woher dieser Kontext kommt. Eine Timeline des Arbeitsalltags ist ein produktiver Wissensspeicher und gleichzeitig ein sensibler Datenbestand. Ein automatisierter Dokumentencheck spart Zeit und öffnet gleichzeitig eine neue Angriffsfläche. Ein Wasserzeichen schafft Nachweisbarkeit, aber nur in einem begrenzten Rahmen.
Wer KI in Workflows einbaut, sollte deshalb zwei Fragen früh beantworten: Welche Datenquellen darf ein Assistent sehen, und an welchen Stellen entscheidet ein Mensch? Beides gehört in die Architektur, nicht in eine nachträgliche Richtlinie.
Für Web- und Softwareprojekte bedeutet das: Kontextzugriffe und Freigabestufen gehören von Anfang an ins Berechtigungskonzept, mit dokumentierten Datenquellen und einem klar definierten Punkt, an dem eine Person entscheidet. Jede Pipeline, die fremde Dokumente verarbeitet, braucht eine Vorprüfung auf versteckte Inhalte und ein Protokoll darüber, was ins Modell gegangen ist. Und Erkennungsverfahren wie Wasserzeichen sind als zusätzlicher Hinweis nützlich, nicht als Grundlage automatischer Entscheidungen.