Eine E-Mail genügt: Wie Angreifer AI-Assistenten zu Spionen machen

Indem sie Anweisungen enthält, die der Assistent beim Lesen ausführt. Ein AI-Assistent beantwortet Fragen mit dem, was er in Postfach, Dokumenten und Chats findet. Steht dort ein Text, der wie eine Anweisung klingt, befolgt das Sprachmodell ihn womöglich, denn es trennt nicht sauber zwischen Inhalt und Befehl. Fachleute nennen das indirekte Prompt Injection.

Das BSI beschreibt es so: „Angreifer verbergen Befehle in Webseiten, Dokumenten oder E-Mails – zum Beispiel als unsichtbarer weißer Text auf weißem Hintergrund.“ Als mögliche Folgen nennt das BSI etwa „das Versenden von E-Mails in Ihrem Namen oder das Abschließen kostenpflichtiger Verträge“.

Gefährlich wird es, wenn niemand etwas tun muss. Bei einem Zero-Click-Angriff genügt es, dass die präparierte Mail im Postfach liegt und der Assistent sie bei einer ganz normalen Frage mitliest.

Forscher des Sicherheitsunternehmens Aim Security zeigten 2025, dass eine einzige Mail genügte, um Microsoft 365 Copilot vertrauliche Daten zu entlocken. Microsoft stufte die Lücke als kritisch ein, mit 9,3 von 10 Punkten, und behob sie im Juni 2025 auf den eigenen Servern. Kunden mussten nichts tun, und nach Microsofts Angaben wurde sie nicht ausgenutzt.

Der Ablauf, vereinfacht: Die Angreifer schicken eine Mail, die harmlos aussieht und eine versteckte Anweisung enthält. Später stellt jemand im Unternehmen Copilot eine gewöhnliche Frage, und die Suche zieht die präparierte Mail als Quelle heran. Die Anweisung bringt Copilot dazu, vertrauliche Angaben aus dem Zugriffsbereich des Nutzers in die Adresse eines Bildes zu packen. Der Browser lädt das Bild automatisch, und die Daten landen beim Angreifer. Geklickt hat niemand.

Dafür umgingen die Forscher gleich mehrere Schutzschichten: den Filter, der solche Anweisungen erkennen soll, und die Regel, die Links zu fremden Seiten aus Antworten entfernt. Copilot hat dabei Zugriff auf alles, was der Nutzer sehen darf, also Mails, OneDrive, Office-Dateien, SharePoint und Teams-Chats.

Nein. Seit 2025 folgt ein Fall auf den nächsten, bei fast jedem großen Anbieter:

• ChatGPT, August 2025. Forscher von Zenity zeigten auf der Konferenz Black Hat, wie ein einziges geteiltes Dokument in Google Drive ChatGPT dazu brachte, API-Schlüssel aus dem Drive des Opfers abfließen zu lassen, wieder über ein Bild. OpenAI baute kurz darauf Gegenmaßnahmen ein.
• GitHub, Mai 2025. Invariant Labs brachte einen Programmier-Agenten über einen präparierten Eintrag in einem öffentlichen Projekt dazu, Daten aus privaten Repositories preiszugeben. Angebunden war er über das Model Context Protocol.
• Salesforce, September 2025. Bei ForcedLeak reichte ein präpariertes Kontaktformular auf einer Website. Der Agent von Salesforce las es im CRM und leitete Kundendaten an eine Domain weiter, die noch auf der Liste erlaubter Adressen stand, aber abgelaufen war. Bewertung: 9,4 von 10.
• Google Gemini, Dezember 2025 und Januar 2026. Bei GeminiJack genügten ein geteiltes Dokument oder eine Kalendereinladung, um Firmendaten aus Gemini Enterprise abzuziehen. Wenig später umging eine präparierte Kalendereinladung Geminis Schutz erneut und legte private Termine offen.

Und es bleibt nicht im Labor. Die Sicherheitsforscher von Palo Alto Networks berichteten im März 2026, versteckte Anweisungen auf Webseiten würden inzwischen tatsächlich gegen AI-Agenten eingesetzt: „no longer merely theoretical but … being actively weaponized“.

Weil ein Sprachmodell Anweisungen und Daten nicht grundsätzlich auseinanderhalten kann. Die Hersteller sagen das inzwischen offen. OpenAI schreibt: „Prompt injection, much like scams and social engineering on the web, is unlikely to ever be fully ‚solved‘.“ Wie Betrug im Netz werde sich Prompt Injection wohl nie ganz lösen lassen. Anthropic, der Hersteller von Claude, nennt das Problem „far from a solved problem“, also noch lange nicht gelöst.

Das britische National Cyber Security Centre geht noch weiter. Anders als SQL Injection, die sich mit sauberer Programmierung beseitigen lässt, werde Prompt Injection womöglich nie vollständig zu beherrschen sein: „it’s very possible that prompt injection attacks may never be totally mitigated“.

Die Fachwelt zieht daraus Konsequenzen. In der neuen Liste der zehn größten Risiken für AI-Anwendungen der Sicherheitsorganisation OWASP von 2026 steht Prompt Injection wieder auf Platz 1. Zu viel Handlungsfreiheit für Agenten, im Englischen Excessive Agency, ist von Platz 6 auf Platz 3 gestiegen.

Der Entwickler Simon Willison hat das Muster hinter all diesen Fällen im Juni 2025 auf einen Begriff gebracht: die Lethal Trifecta, das tödliche Trio. Gefährlich wird ein Assistent, wenn er drei Dinge zugleich kann. Für Ihre Werkzeuge heißt das:

1. Liest er fremde Inhalte? Mails von außen, Webseiten, hochgeladene Dateien, Formulare, Kalendereinladungen.
2. Kommt er an vertrauliche Daten? Postfach, Laufwerke, CRM, Verträge, Quellcode.
3. Kann er nach außen kommunizieren? Mails senden, Links oder Bilder in Antworten einbauen, Schnittstellen aufrufen.

Dreimal Ja heißt: Ein Angreifer kann ihn über versteckte Anweisungen Daten hinausschicken lassen. Meta hat daraus im Oktober 2025 eine Faustregel gemacht, die Agents Rule of Two: Höchstens zwei der drei Eigenschaften dürfen in einer Sitzung zusammenkommen.

Ein Bein des Trios abschneiden, statt auf den perfekten Filter zu hoffen. Konkret:

• Nach außen nur mit Freigabe. Senden, Buchen und Bestätigen geschieht erst, wenn ein Mensch zugestimmt hat. Das ist unser Grundsatz in jedem Projekt, mehr dazu unter Human in the Loop.
• Keine fremden Bilder und Links automatisch laden. Fast alle bekannten Fälle führten die Daten über ein Bild oder einen Link hinaus. Wer Ausnahmen erlaubt, muss die Liste pflegen: ForcedLeak lief über eine abgelaufene Domain.
• So wenig Zugriff wie möglich. Ein Assistent, der Kundenanfragen beantwortet, braucht nicht das ganze Laufwerk. Prüfen Sie, welche Anbindungen an Drive, SharePoint oder CRM wirklich nötig sind.
• Fremdes getrennt verarbeiten. Was von außen kommt, liest ein eigener Schritt mit wenig Rechten und gibt nur das weiter, was die Aufgabe braucht.
• Filter der Hersteller als zusätzliche Schicht. Sie fangen bekannte Muster ab, ersetzen aber keine der Regeln oben.

Unsere Einschätzung: Wer diese Punkte beachtet, kann AI-Assistenten weiter breit einsetzen. Riskant wird es dort, wo ein Agent aus Bequemlichkeit alles darf: lesen, suchen und senden, ohne dass jemand drüberschaut.

Die Lücken in den Diensten schließen die Hersteller, meist ohne dass Sie etwas tun müssen. Ihre Einstellungen aber bleiben Ihre Sache. Prüfen Sie, welche Anbindungen eingeschaltet sind, wer Dokumente nach außen teilen darf und ob Assistenten Inhalte aus dem Netz holen dürfen.

Für eigene Agenten gilt die Regel der zwei aus drei schon beim Entwurf. Unsere Agenten lesen fremde Mails und Rechnungen, legen aber nur Entwürfe an; versendet oder gebucht wird erst nach Freigabe. Mehr dazu im Beitrag zu AI-Agenten im Unternehmen und unter Machen.

Und Ihre Leute sollten wissen, dass eine Antwort der AI manipuliert sein kann, etwa wenn sie unerwartet Links enthält oder zu einer Handlung drängt. Das gehört in jede AI-Schulung.