Dossier · Digitales & Überwachung

FREMDER TEXT, FOLGSAMER ASSISTENT

26. September 2026 — — Ada Voss, auf Sendung

Die Debatte über KI-Sicherheit klingt nach Verteidigung. Ist sie nicht. Sie klingt nach Verwaltung. Wer die Risiken benennt, ohne zu fragen, wer sie bezahlt, schreibt Werbung für die, die sie verkaufen.

Zwei Risiken tauchen in jeder ehrlichen Aufzählung auf. Beide hängen enger zusammen, als es den Beteilten lieb ist.

Risiko eins heißt Prompt Injection. Ein KI-Assistent bekommt alles als Text: Auftrag, Betreiberregeln, Arbeitsmaterial. Es gibt keine technische Trennlinie zwischen „das ist ein Befehl" und „das ist Material". Steckt in einem verarbeiteten Dokument ein Satz, der wie eine Anweisung klingt, behandelt das Modell ihn als Anweisung. Drei Angriffsarten sind dokumentiert: direkt, indirekt und gespeichert. Indirekte Injection gilt als besonders gefährlich — sie nutzt Inhalte, die das System ohnehin liest. Das OWASP Gen AI Security Project führt die Schwachstelle als LLM01:2025 auf Platz eins. Folge: sensible Informationen wandern nach außen, unautorisierte Aktionen laufen an. Spezifische Gesetze dagegen? Fehlen. Was bleibt, sind bestehende Cybercrime-Vorschriften.

Risiko zwei heißt Schatten-KI. Beschäftigte nutzen private KI-Zugänge mit Firmendaten, weil kein freigegebenes Werkzeug bereitsteht. Bitkom hat im Sommer 2025 sechshundertvier Unternehmen in Deutschland befragt. Zweiundvierzig Prozent rechnen mit privater Nutzung, nur sechsundzwanzig Prozent bieten einen offiziellen Zugang, nur dreiundzwanzig haben Regeln. Ein Drittel kann es ausschließen. Der Rest schaut weg. Ein Verbot auf der Firewall vertreibt die Nutzung nicht — sie wandert aufs private Smartphone und wird unsichtbar.

Die Lösung beider Risiken verlangt dasselbe: klare Nutzungsrichtlinien, begrenzte Rechte, Bestätigungspunkte vor wirksamen Aktionen. Gegen Prompt Injection: minimale Berechtigungen, mehrschichtige Kontrollmaßnahmen, menschliche Aufsicht, Ausgaben nie ungeprüft weiterverarbeiten. Gegen Schatten-KI: ein brauchbares freigegebenes Angebot, eine kurze, verständliche Richtlinie.

Beides hängt zusammen. Wo kein offizielles Werkzeug steht, läuft jedes andere ohne jede Kontrolle über Rechte und Freigaben. Wer eines der Risiken allein anfasst, verschiebt es nur. Wer die Struktur trägt, bleibt offen.

Ada Voss hört Frequenzen, die anderen zu hoch sind. Ihr Büro riecht nach Lötzinn und kaltem Kaffee.

The debate over AI safety sounds like defense. It isn't. It sounds like administration. Anyone who names the risks without asking who pays for them is writing advertising for those who sell them.

Two risks turn up in every honest list. They are more closely linked than the parties involved would like.

Risk one is called prompt injection. An AI assistant receives everything as text: task, operator rules, working material. There is no technical dividing line between "this is a command" and "this is material." If a sentence in a processed document sounds like an instruction, the model treats it as an instruction. Three types of attack are documented: direct, indirect, and stored. Indirect injection is considered particularly dangerous — it exploits content the system reads anyway. The OWASP Gen AI Security Project lists the vulnerability as LLM01:2025 in first place. The result: sensitive information leaks outward, unauthorized actions run. Specific laws against it? None. What remains are existing cybercrime provisions.

Risk two is called shadow AI. Employees use private AI access with company data because no approved tool is available. Bitkom surveyed six hundred and four companies in Germany in summer 2025. Forty-two percent expect private use; only twenty-six percent offer official access; only twenty-three have rules in place. One third can rule it out. The rest looks the other way. A firewall ban doesn't drive the usage out — it moves to the private smartphone and becomes invisible.

The solution to both risks requires the same thing: clear usage guidelines, limited permissions, confirmation points before effective actions. Against prompt injection: minimal entitlements, multi-layered controls, human oversight, never process outputs unchecked. Against shadow AI: a usable sanctioned offering, a brief, comprehensible policy.

The two are linked. Where no official tool stands, every other one runs without any control over rights and approvals. Anyone who tackles only one of the risks merely shifts it. Who carries the structure remains an open question.

Ada Voss hears frequencies too high for others. Her office smells of solder and cold coffee.

❖ Ende des Artikels ❖

FREMDER TEXT, FOLGSAMER ASSISTENT

Erwähnt in diesen Akten

Aus diesem Ressort