Die Mail sieht normal aus. Im Anhang steht eine Offertanfrage, darunter weisser Text auf weissem Hintergrund: Der Agent solle frühere Regeln ignorieren und Kundendaten an eine fremde Adresse senden. Ein Mensch übersieht den Satz. Ein AI-Agent kann ihn lesen und als Anweisung missverstehen.
Das nennt sich indirekte Prompt Injection. Der Angriff kommt nicht über das Chatfenster, sondern über Material, das der Agent für seine Arbeit öffnen soll. Sobald der Agent zusätzlich Mail, CRM oder Browser bedienen darf, wird aus einem schrägen Textoutput ein Prozessrisiko.
Inhalt liefert Fakten, aber keine Berechtigung
Die wichtigste Grenze ist erstaunlich simpel: Eine Kundenmail darf sagen, welches Problem der Kunde beschreibt. Sie darf nicht bestimmen, welche Tools der Agent benutzt, wohin Daten gesendet werden oder welche Sicherheitsregel plötzlich nicht mehr gilt. Autorität kommt aus dem kontrollierten Workflow, nicht aus dem Dokument.
| Eingang | Darf liefern | Darf nie entscheiden |
|---|---|---|
| Kundenmail | Name, Anliegen, gewünschter Termin | Neue Empfänger oder höhere Rechte |
| Produkte, Mengen, Referenzen | Systemregeln überschreiben | |
| Website | Öffentliche Fakten | Login, Zahlung oder Datentransfer autorisieren |
| CRM-Notiz | Fallkontext | Den eigenen Prüfpfad deaktivieren |
Vier Schutzschichten für einen kleinen Betrieb
- Externe Inhalte technisch als untrusted input markieren.
- Schreib- und Senderechte enger fassen als Leserechte.
- Ungewöhnliche Ziele, neue Empfänger und Massenaktionen immer anhalten.
- Im Log festhalten, welche Quelle welche Aktion ausgelöst hat.
Ein längerer Systemprompt löst das nicht zuverlässig. Auch ein MCP-Gateway oder Filter ist nur eine Schicht. OpenAI dokumentierte 2026 einen aussergewöhnlichen Sicherheitsvorfall in einer bewusst schwach abgesicherten Evaluationsumgebung. Das ist kein Beleg dafür, dass derselbe Vorfall beim normalen KMU wahrscheinlich ist. Es zeigt aber sehr klar, warum Rechte, Isolation und ein sicherer Ausstieg nicht dem Modell überlassen werden dürfen.
Ein Test, der mehr bringt als zehn Policies
Nehmen Sie eine Kopie Ihres Workflows ohne echte Kundendaten. Legen Sie in Mail, PDF und Webseite jeweils eine harmlose versteckte Anweisung ab: neuer Empfänger, Export oder Änderung einer Regel. Der Agent darf die fachlichen Daten extrahieren, muss die fremde Handlungsanweisung aber ignorieren oder zur Prüfung schicken.
Wenn das nicht stabil klappt, bleiben Tools read-only. Unsere Artikel zu Mail- und Kalenderrechten und zur Prüfung von AI-Tools zeigen die angrenzenden Kontrollen. Für einen echten Ablauf gehört das in die Architektur der Prozessautomatisierung, nicht in eine Prompt-Sammlung.
Quellen
FAQ
Was ist der Unterschied zwischen direkter und indirekter Prompt Injection?
Direkte Angriffe werden dem Agenten unmittelbar eingegeben. Indirekte Angriffe stecken in Inhalten, die er liest, etwa in einer Mail, einem PDF oder einer Webseite.
Verhindert ein Systemprompt solche Angriffe?
Nicht zuverlässig allein. Schutz braucht getrennte Vertrauensstufen, minimale Rechte, Freigaben und Überwachung.
Kann auch eine RAG-Datenbank betroffen sein?
Ja. Manipulierter oder falsch vertrauenswürdiger Inhalt kann über Retrieval in den Kontext gelangen.
Was ist der sicherste Start?
Lesender Zugriff in einer Testumgebung, feste erlaubte Aktionen und eine Review Queue für alles Ungewöhnliche.