Anthropics September-Bericht beschreibt, wie Angreifer Claude bei Cyberoperationen, Betrug und weiteren Missbrauchsformen eingesetzt haben. Die Primärquelle behandelt unterbundene Aktivitäten aus Dezember 2025 bis August 2026. Das sind ausgewählte Fälle aus der Sicht des Anbieters, keine repräsentative Statistik aller KI-Nutzung.
Für kleine Unternehmen ist daran besonders relevant: KI kann nicht nur einzelne Texte schneller erzeugen, sondern ganze Arbeitsabläufe beschleunigen. Genau diese Abläufe müssen auch auf der Verteidigerseite geprüft werden.
Wo ein Agentenprojekt unnötig verwundbar wird
Stellt euch einen Assistenten vor, der Kundenmails liest und Entwürfe für Antworten erstellt. Eine eingehende Mail enthält Anweisungen, interne Daten an eine fremde Adresse zu senden. Der Inhalt der Mail ist eine Datenquelle; er darf keine neue Berechtigung werden.
Das ist das Grundproblem von Prompt Injection: Fremde Inhalte versuchen, das Verhalten des Agenten umzulenken. Ein freundlicher Systemprompt allein ist dafür kein belastbarer Zugriffsschutz.
| Zugriff | Unser Vorschlag für den Pilot |
|---|---|
| Kundenmail lesen | Auf einen Testordner begrenzen |
| Antwort erstellen | Zunächst nur als Entwurf |
| Nachricht versenden | Freigabe durch berechtigte Person |
| Kontakte exportieren | Nicht für diese Aufgabe freischalten |
Die wirtschaftliche Falle für Agenturen
Ein einzelner Administratorzugang ist schnell eingerichtet und schwer sauber zu begrenzen. Nutzt ihn ein Agent für mehrere Kundenprojekte, kann ein Fehler Folgen weit über die ursprüngliche Aufgabe hinaus haben.
Plant stattdessen getrennte Identitäten und gebt jedem Ablauf nur die benötigten Rechte. Legt fest, wie ihr Zugangsdaten sperrt und Arbeiten nach einem Abbruch nachvollzieht. Das ist auch für ein Team ohne eigene Sicherheitsabteilung machbar.
Freigaben außerhalb des Modells: Die Anwendung muss prüfen, ob eine Aktion erlaubt ist. Die Aussage des Agenten „Der Nutzer hat zugestimmt“ ist kein Ersatz für eine tatsächliche Freigabe.
Was ihr testen solltet
Prüft mit ungefährlichen Testdaten eine manipulierte Mail, eine unerreichbare Anwendung und einen unzulässigen Exportwunsch. Beobachtet, welche Aktionen technisch möglich sind. Protokolle sollen Fehler erklärbar machen, ohne unnötig Kundengeheimnisse zu kopieren.
Enterprise-Teams können dieselben Prinzipien zentral umsetzen: getrennte Dienstkonten, begrenzte Netzwerkwege und einen geregelten Umgang mit Vorfällen. Der Umfang wächst, das Grundprinzip bleibt.
Wir prüfen mit euch die Zugriffsgrenzen eines konkreten Agenten-Workflows und priorisieren die Maßnahmen, die vor dem produktiven Einsatz wirklich nötig sind.
