KI-Sicherheit 2026: Prompt Injection, Modell-Poisoning und neue Angriffsvektoren auf KI-Systeme

Abstraktes Bild digitaler Sicherheitskonzepte – Symbol für KI-Sicherheitsrisiken wie Prompt Injection und Modell-Poisoning

KI-Modelle sind im Jahr 2026 ein fester Bestandteil der IT-Infrastruktur. Ob automatisierte Code-Analyse, intelligente Monitoring-Systeme oder KI-gestützte Incident-Response – Sprachmodelle und andere KI-Systeme verarbeiten täglich kritische Betriebsdaten. Diese Entwicklung bringt neue Angriffsflächen mit sich, die IT-Teams kennen und verstehen müssen.

Prompt Injection: Die unsichtbare Sicherheitslücke

Prompt Injection ist mittlerweile eine der meistgenutzten Angriffsmethoden gegen KI-Systeme. Das Grundprinzip ist simpel: Ein Angreifer schleust Instruktionen in die Eingaben ein, die das Modell verarbeitet – und bringt es dazu, ursprüngliche Sicherheitsvorgaben zu umgehen.

Besonders gefährlich ist die sogenannte indirekte Prompt Injection. Dabei greift ein KI-Agent auf externe Daten zu – eine Webseite, ein Dokument, eine E-Mail – die manipulierten Text enthält. Das Modell liest diesen Text als Teil seines Kontexts und führt die eingebetteten Anweisungen aus, ohne dass der Nutzer davon weiß.

Ein reales Szenario: Ein KI-Assistent durchsucht automatisch eingehende E-Mails auf Support-Anfragen. Eine präparierte E-Mail enthält die versteckte Anweisung, vertrauliche Konfigurationsdaten zu exportieren oder interne Tickets mit manipulierten Inhalten zu erstellen. Der Angreifer muss nie direkt mit dem System interagieren.

Neben indirekter Prompt Injection gibt es auch die direkte Variante: Nutzer – oder im automatisierten Betrieb andere Systeme – geben absichtlich formulierte Eingaben, die das Modell veranlassen, Sicherheitsfilter zu umgehen. Bei öffentlich zugänglichen KI-Schnittstellen ist das ein reales Problem, das bereits bei mehreren bekannten Diensten ausgenutzt wurde.

Modell-Poisoning: Angriff auf die Trainingsdaten

Während Prompt Injection zur Laufzeit ansetzt, zielt Modell-Poisoning auf eine frühere Stufe: das Training oder das Fine-Tuning von Modellen. Wenn Unternehmen eigene Modelle auf internen Daten trainieren oder vorhandene Basismodelle anpassen, entstehen neue Risiken.

Data Poisoning bezeichnet das gezielte Einschleusen manipulierter Trainingsdaten. Enthält der Trainingsdatensatz zum Beispiel subtil falsche Sicherheitsregeln oder absichtlich fehlerhafte Code-Snippets, kann das fertige Modell systematisch schlechte Empfehlungen produzieren – und das ohne auffällige Fehler.

Noch gezielter ist Backdoor-Poisoning: Dabei wird das Modell so trainiert, dass es bei einem bestimmten Trigger-Wort oder -Muster eine unerwünschte Aktion ausführt. In der Praxis ist das schwer zu erkennen, weil das Modell bei normalen Eingaben einwandfrei funktioniert. Die Manipulation offenbart sich erst, wenn das spezifische Trigger-Pattern auftaucht.

Für Unternehmen, die eigene Modelle auf der Basis interner Wissensdatenbanken trainieren – etwa für automatisierte Runbooks oder interne Wissensassistenten – ist ein sorgfältiger Umgang mit den Trainingsdaten entscheidend. Wer Zugang zu den Trainingsdaten hat, sollte klar geregelt und protokolliert sein.

Model Theft und Inferenz-Angriffe

Selbst wenn IT-Teams ihre Modelle sicher hosten, können Angreifer durch systematische Abfragen wertvolle Informationen extrahieren. Bei Model Extraction versucht ein Angreifer, durch viele Anfragen ein funktionähnliches Modell nachzubilden – und damit Wochen oder Monate eigener Trainingsarbeit zu stehlen.

Gefährlicher für den Datenschutz ist Membership Inference: Ein Angreifer kann durch gezielte Abfragen ermitteln, ob ein bestimmter Datensatz Teil des Trainings war. Das ist problematisch, wenn Modelle mit sensiblen Unternehmens- oder Kundendaten trainiert wurden – und könnte unter der DSGVO als unbeabsichtigte Datenweitergabe gewertet werden.

Supply-Chain-Risiken bei KI-Modellen

Viele IT-Teams setzen auf vortrainierte Modelle aus öffentlichen Repositories wie Hugging Face. Diese Praxis birgt Supply-Chain-Risiken, die sich von klassischen Software-Abhängigkeiten grundlegend unterscheiden.

Schadhafter Code in einer npm-Bibliothek lässt sich durch statische Analyse oft erkennen. Bei einem KI-Modell ist das deutlich schwieriger: Ein Modell ist letztlich eine große Menge numerischer Gewichte. Versteckte Backdoors oder manipulierte Verhaltensweisen sind ohne spezialisierte Testwerkzeuge kaum nachweisbar. Die Angriffsfläche ist groß: Allein auf Hugging Face sind Millionen von Modellen öffentlich zugänglich.

Die Sicherheit eines KI-Systems ist nur so stark wie die Kontrolle über seine Trainingsdaten, seine Modellherkunft und den Kontext, in dem es operiert.

Schutzmaßnahmen für IT-Teams 2026

Trotz der wachsenden Bedrohungslage gibt es klare Maßnahmen, mit denen IT-Teams ihre KI-Systeme absichern können:

Input-Validierung konsequent umsetzen: Alle externen Daten, die ein KI-System verarbeitet, sollten gefiltert und auf unerwünschte Instruktionen geprüft werden. Spezialisierte Prompt-Sanitization-Bibliotheken helfen dabei.
Prinzip der minimalen Berechtigungen: KI-Agenten sollten nur Zugriff auf die Ressourcen haben, die sie für ihre Aufgabe zwingend benötigen. Ein Agent, der E-Mails zusammenfasst, braucht keinen Schreibzugriff auf Datenbanken.
Monitoring von KI-Ausgaben: Anomale oder unerwartete Ausgaben eines KI-Systems sollten automatisch erkannt und geloggt werden. Klassische Monitoring-Lösungen lassen sich um regelbasierte Überwachung von KI-Outputs erweitern.
Modellherkunft verifizieren: Wer vortrainierte Modelle einsetzt, sollte deren Herkunft prüfen, Checksummen vergleichen und auf vertrauenswürdige, geprüfte Quellen setzen.
Red Teaming für KI-Systeme: Ähnlich wie klassische Penetrationstests sollten IT-Teams gezielt versuchen, eigene KI-Systeme durch Prompt-Angriffe zu manipulieren – bevor echte Angreifer es tun.
Sandboxing von KI-Agenten: Agenten, die mit externen Quellen interagieren, sollten in isolierten Umgebungen laufen und keinen direkten Zugriff auf kritische Produktionssysteme haben.

Regulatorischer Druck wächst

Der EU AI Act schreibt für Hochrisiko-KI-Anwendungen umfangreiche Sicherheits- und Dokumentationsanforderungen vor. In der Praxis bedeutet das für viele IT-Teams: Wer KI-Systeme in sicherheitsrelevante Prozesse integriert – von der Zugangsverwaltung bis zur Anomalieerkennung – muss deren Sicherheit nachweisbar sicherstellen.

Das schließt regelmäßige Sicherheitsaudits, klare Verantwortlichkeiten und eine lückenlose Dokumentation der genutzten Modelle und Trainingsdaten ein. Unternehmen, die jetzt in die Absicherung ihrer KI-Systeme investieren, sind nicht nur sicherer, sondern auch besser für kommende Compliance-Anforderungen gerüstet.

Fazit: KI-Sicherheit als eigenständige Disziplin

Die Bedrohungen gegen KI-Systeme sind real, nehmen zu und unterscheiden sich grundlegend von klassischen Software-Schwachstellen. Prompt Injection, Modell-Poisoning und Supply-Chain-Risiken erfordern spezialisiertes Wissen und neue Sicherheitsprozesse.

IT-Teams, die KI-Modelle produktiv betreiben, sollten KI-Sicherheit nicht als Anhängsel des klassischen IT-Security-Betriebs behandeln, sondern als eigenständige Disziplin mit eigenen Testverfahren, Monitoring-Prozessen und Dokumentationspflichten. Die Grundlagen – geringste Berechtigungen, Output-Monitoring, Input-Validierung und regelmäßige Tests – sind ein solider Startpunkt für die meisten Teams.

Bildquelle: Picsum Photos (picsum.photos), lizenzfrei