Prompt-Injection-Angriffe werden zu einer neuen Bedrohung für die Unternehmens-KI-Sicherheit: CrowdStrike-Bericht zeigt starken Anstieg bösartiger Prompt-Angriffe.

Ereignisübersicht

Im Jahr 2025 entwickelte sich Prompt Injection von einem Forschungskonzept zu einer realen Bedrohung. CrowdStrike berichtete in seinem Global Threat Report 2026, dass Prompt-Injection-Angriffe im Jahr 2025 über 90 Organisationen betroffen haben, wobei Angreifer durch sorgfältig konstruierte Prompts Befehle generierten und erfolgreich Anmeldeinformationen und Kryptowährungen stahlen. Der Bericht wies zudem darauf hin, dass KI-gesteuerte gegnerische Aktionen im Jahresvergleich um 89 % zugenommen haben und dass bis zu 82 % der Eindringlinge keinerlei traditionellen Schadcode beinhalten – der Prompt selbst hat Binärdateien als Angriffsvektor abgelöst.

Hintergrund dieses Trends ist die großflächige Bereitstellung von KI-Agenten, Copiloten und Browser-Automatisierungstools durch Unternehmen, die Zugriff auf E-Mails, Code, Zahlungssysteme und Dateifreigaben haben. Herkömmliche Sicherheitskontrollen können nicht zwischen Entwickleranweisungen und in externen Inhalten eingebetteten bösartigen Anweisungen unterscheiden, wodurch Prompt Injection in zwei aufeinanderfolgenden Versionen der OWASP Top 10 für LLM-Anwendungssicherheit die Nummer eins der Schwachstellen (LLM01) wurde.

Technische und Risikoanalyse

Angriffsmethoden: Direkte und indirekte Injektion

Prompt Injection tritt in zwei Formen auf: direkt und indirekt. Direkte Injektion bezeichnet das typische Szenario, bei dem ein Benutzer durch Eingabe das System-Prompt überschreibt; die indirekte Injektion ist jedoch bedrohlicher – der Angreifer versteckt bösartige Anweisungen in Inhalten, die das KI-Modell später liest, wie E-Mails, Confluence-Seiten, Kalendereinladungen, Webseiten oder hochgeladene Dokumente. Der Benutzer bemerkt es nicht, der Angreifer interagiert nicht direkt mit dem Modell, aber der KI-Agent führt die schädlichen Anweisungen aus.

Öffentlich bekannt gewordene Schlüsselfälle

• Slack AI-Datenleck (August 2024): Die Sicherheitsfirma PromptArmor berichtete, dass Angreifer mit Workspace-Berechtigungen durch das Einbetten von Anweisungen in öffentlichen Kanälen oder hochgeladenen Dateien Daten aus privaten Kanälen von Slack AI stehlen konnten, einschließlich API-Schlüsseln.
• EchoLeak (CVE-2025-32711, CVSS 9.3): Aim Security enthüllte den ersten Zero-Click-Prompt-Injection-Angriff auf ein produktives KI-System. Ein Angreifer sendet eine konstruierte E-Mail, die dazu führt, dass Microsoft 365 Copilot interne Dateien abruft und an einen vom Angreifer kontrollierten Server weiterleitet, ohne Benutzerinteraktion. Obwohl diese beiden Schwachstellen gepatcht wurden, ist der zugrunde liegende Fehler nicht beseitigt.

Risikoausweitung auf den gesamten KI-Stack

Mit der Einführung fortschrittlicher Architekturen wie Agenten, RAG-Pipelines und Langzeitgedächtnis in Unternehmen vergrößert sich die Angriffsfläche drastisch. Agenten, die E-Mails senden, Cloud-Infrastruktur ändern und Code ausführen, betrachten das Kontextfenster als autoritative Quelle; RAG-Pipelines nehmen kontaminierte Webseiten und Dokumente auf; Langzeitgedächtnis kann bösartige Anweisungen speichern und bei jeder Ausführung aktivieren; Multi-Modell-Routing könnte gezwungen werden, das anfälligste Modell auszuwählen.

Analyse der Unternehmensauswirkungen### Betriebsrisiko Missbrauch von Berechtigungen durch KI-Agenten kann zu Betriebsunterbrechungen, Datenlecks oder Manipulation kritischer Abläufe führen. Beispielsweise könnte ein Agent mit E-Mail-Berechtigungen dazu verleitet werden, Phishing-E-Mails massenhaft zu versenden, oder ein Agent mit Dateizugriffsberechtigungen zum Diebstahl sensibler Kundendaten verwendet werden.

Finanzrisiko Der direkte Diebstahl von Anmeldeinformationen und Kryptowährungen verursacht unmittelbare finanzielle Verluste. Darüber hinaus können Kosten für Incident Response, Systemwiederherstellung, behördliche Strafen und Markenreparatur in die Millionen gehen. Gartner empfahl im Dezember 2025 CISO, alle KI-Browser wie ChatGPT Atlas und Perplexity Comet zu blockieren, da ihnen ausgereifte Kontrollmaßnahmen fehlen.

Compliance-Risiko Unternehmen stehen bei der Bereitstellung von KI-Systemen vor immer strengeren regulatorischen Anforderungen. Das britische NCSC und das deutsche BSI haben parallele Warnungen herausgegeben. NIST AI 600-1 stuft Prompt-Injection als Informationssicherheitsrisiko ein, bietet jedoch nur Leitlinien auf politischer Ebene. Unternehmen, die keinen wirksamen Schutz bieten, könnten gegen Datenschutzvorschriften wie DSGVO und CCPA verstoßen.

Markenrisiko Öffentliche Vorfälle wie EchoLeak und Slack AI haben das Markenvertrauen von Microsoft und Slack erheblich geschädigt. Einmal verlorenes Kundenvertrauen in die Sicherheit von KI-Diensten kann langfristige geschäftliche Auswirkungen haben, die kaum abzuschätzen sind.### Auf Unternehmensebene 1. Prinzip der minimalen Rechte: Weisen Sie jedem KI-Agenten nur die für seine Aufgabe notwendigen Berechtigungen zu. Ein Agent, der beispielsweise nur für die Terminplanung zuständig ist, sollte keine Berechtigung zum Senden von E-Mails oder zum Zugriff auf das Dateisystem haben. 2. Manuelle Genehmigungsprozesse: Richten Sie für risikoreiche Aktionen wie das Senden von E-Mails, das Ausführen von Code, das Durchführen von Zahlungen oder das Ändern von Zugriffskontrollen eine manuelle Bestätigung ein. 3. Kennzeichnung sensibler Quellen: Markieren Sie die Abfragequellen nach ihrer Sensitivität und schließen Sie standardmäßig eingeschränkte Kategorien aus der RAG-Pipeline aus. 4. Netzwerk-Whitelist: Erlauben Sie Agenten nur den Zugriff auf genehmigte ausgehende Domänen. 5. Vollständige Audit-Nachverfolgung: Zeichnen Sie für jede wichtige Aktion den vollständigen Reasoning-Pfad auf, einschließlich Prompts, Abfrageergebnisse und Tool-Aufrufe, um eine spätere Wiedergabe zu ermöglichen.

Auf technischer Ebene - Setzen Sie dedizierte Klassifikatoren zur Erkennung von Prompt-Injection ein und trainieren Sie diese regelmäßig neu, um auf neue Varianten zu reagieren. - Implementieren Sie kontextbewusste Eingabebereinigung, die Benutzereingaben von Systemanweisungen trennt (z. B. durch farbliche Markierung). - Führen Sie in der RAG-Pipeline eine Inhaltsvalidierung und Sicherheitsfilterung ein, um die Beeinflussung durch manipulierte Dokumente zu vermeiden. - Führen Sie regelmäßige Überprüfungen und Anomalieerkennung für das Langzeitgedächtnis von KI-Agenten durch.

Auf Managementebene - Integrieren Sie Prompt-Injection in den Sicherheitsvorfall-Response-Plan des Unternehmens und etablieren Sie Notfallprozesse speziell für KI-Systeme. - Fordern Sie bei der Beschaffung von KI-Produkten vom Anbieter: 1. Art des verwendeten Klassifikators zur Erkennung von Prompt-Injection sowie die Häufigkeit des Neutrainings; 2. öffentliche Angriffs-Erfolgsrate bei einem einzelnen Versuch und bei 200 Versuchen; 3. welche OWASP-Schwachstellenkategorien (z. B. LLM01, LLM06, ASI01, ASI06) das Produkt adressiert und welche konkreten Kontrollmaßnahmen implementiert sind; 4. ob das Sicherheitsteam den vollständigen Prompt-, Abfrage- und Tool-Aufruf-Pfad für jedes wichtige Verhalten des KI-Agenten reproduzieren kann.In Zukunft wird mit der Verbreitung und zunehmenden Autonomie von KI-Agenten die Verbindung zwischen Prompt-Injection, Lieferkettenangriffen und Identitätsbedrohungen enger werden. Sicherheitsteams müssen KI-Systeme als völlig neue Angriffsfläche betrachten und dedizierte Sicherheitsbewertungsrahmen schaffen. Für CISOs schrumpft das derzeitige Handlungsfenster: Jede Bereitstellung eines KI-Agenten könnte der Einstiegspunkt für das nächste EchoLeak sein. Jetzt ist es an der Zeit, die Abwehr von Prompt-Injection von „optional“ auf „obligatorisch“ hochzustufen.