Der KI‑Assistent liest auch die Zeile, die niemand sieht

Wer Bewerbungen von einem KI-Werkzeug vorsortieren lässt, sieht am Bildschirm einen gewöhnlichen Lebenslauf. Das Werkzeug verarbeitet auch weiße Schrift auf weißem Grund.

Für das Sprachmodell kann jeder Text ein Auftrag sein

Prompt Injection. Gemeint ist ein Angriff, bei dem jemand Anweisungen an ein KI-System in Text versteckt, den das System verarbeiten soll, etwa in einer Mail oder einem PDF. Das deutsche Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, nennt das eine „intrinsische Schwachstelle“, also eine, die in der Bauart der SprachmodelleKI-Programme, die aus großen Textmengen gelernt haben, Texte zu verstehen und zu erzeugen, etwa hinter ChatGPT oder Copilot. liegt. Das OWASP-Projekt, eine internationale Initiative für Softwaresicherheit, führt Prompt Injection in seiner Liste der zehn größten Risiken für KI-Anwendungen von 2025 an erster Stelle, wie schon in der Ausgabe von 2023.

Indirekte Variante. Kritisch wird es, wenn die Anweisung von außen kommt und die Person am Bildschirm nichts davon merkt. Das BSI warnte im Juli 2023 davor. Eine verlässliche Gegenmaßnahme, die die Funktion der Sprachmodelle nicht deutlich einschränkt, kannte die Behörde damals nicht.

Fallzahlen. Die belegten Fälle stammen aus der Forschung und aus dem Ausland – einen dokumentierten Schadensfall aus Niederösterreich habe ich nicht gefunden. Zahlen zu versteckten Anweisungen in Bewerbungen aus dem deutschsprachigen Raum gibt es nach meiner Recherche keine.

Österreich. Die KI-Guidelines der Wirtschaftskammer für KMU nennen Prompt Injection in ihrer PDF-Fassung vom April 2026 in einem Satz zur Geheimhaltung. Wer Prompts aus fremden Quellen ungeprüft übernimmt, solle wachsam sein, Versuche gehören laut Kammer in eine Testumgebung mit nicht sensiblen Daten. Auf ihren Seiten zu KI-AgentenKI-Programme, die selbstständig Aufgaben erledigen dürfen, etwa Mails verschicken oder Daten in andere Programme eintragen. und zur Anbindung eigener Dokumente kommt das Risiko nicht vor. Für KI-Agenten schreibt die Kammer immerhin, sie bräuchten „klare Grenzen“, gemeint sind festgelegte Rechte und Freigaben durch Menschen.

NÖKI. Beim Land Niederösterreich, das seit 1. Juli auf noe.gv.at den KI-Assistenten NÖKI betreibt, habe ich nachgefragt, wie es sich gegen solche Angriffe absichert. NÖKI stütze sich nur auf die rund 6.000 geprüften Inhalte von noe.gv.at, teilt die IT-Abteilung des Landes mit. Hochgeladene Dateien verarbeite er nicht, andere Websites rufe er nicht ab. Er gebe ausschließlich Auskunft und könne weder Formulare absenden noch Anfragen weiterleiten. Wichtige Einstellungen ließen sich durch Eingaben im Chat nicht ändern, Antworten würden vor der Ausgabe automatisch kontrolliert. Auf solche Angriffe getestet habe das System unter anderem ein externer Sicherheitsdienstleister. Welche Schutzmaßnahmen im Detail greifen, gibt das Land aus Sicherheitsgründen nicht bekannt.

Gemeinden. Wer als Gemeinde einen eigenen KI-Assistenten einsetzen will, bekommt vom Land keine Vorgaben. Die Gemeinden entscheiden laut Land selbst über ihre IT und werden von eigenen Dienstleistern betreut, der größte ist die Gemdat Niederösterreich.

Wo der versteckte Text schon gefunden wurde

• Postfach. Im Juni 2025 schloss Microsoft eine Lücke in Microsoft 365 Copilot, die das israelische Sicherheitsunternehmen Aim Security gemeldet hatte. Laut den Forschern genügte eine präparierte Mail im Postfach. Stellte danach jemand im Unternehmen Copilot eine gewöhnliche Frage, konnte der Assistent interne Daten nach außen geben, ohne dass jemand einen Link anklickte. Im gängigen Bewertungssystem CVSS erhielt die Lücke 9,3 von 10 Punkten. Kunden mussten nichts tun, und Hinweise auf eine Ausnutzung gab es laut The Hacker News keine.
• Bewerbungen. Forscher der Duke University und weiterer US-Hochschulen werteten mit dem Recruiting-Softwareanbieter hireEZ 196.682 Lebensläufe aus und fanden bei rund 1 Prozent versteckten Text. Mehr als 90 Prozent davon waren unsichtbare Schlagwörter für die Auswertungssoftware, meist Listen mit Fähigkeiten, seltener kopierte Stellenanforderungen. Der Rest enthielt ausdrückliche Befehle an die KI. Ob der versteckte Text eine Auswahl verändert hat, untersucht die Studie nicht.
• Wissenschaft. Die japanische Wirtschaftszeitung Nikkei fand im Juli 2025 in 17 Vorabveröffentlichungen auf der Plattform arXiv versteckte Sätze an KI-Gutachter, meist weiß auf weiß oder in winziger Schrift. Die Arbeiten stammten von 14 Universitäten in acht Ländern und verlangten etwa ausschließlich positive Gutachten.

Der Schaden hängt daran, was der Assistent tun darf

Zusammenfassen. Ein Assistent, der ein Dokument nur zusammenfasst, kann mit einer versteckten Anweisung ein geschöntes Ergebnis liefern. Auffallen kann das, solange jemand das Original liest.

Handeln. Darf der Assistent Mails verschicken oder Bewerbungen aussortieren, wird aus dem verfälschten Text eine Handlung. OWASP führt das als eigenes Risiko unter dem Namen „Excessive Agency“, gemeint ist eine zu weit gefasste Handlungsbefugnis der KI. Ich halte das für die entscheidende Frage beim Einsatz. Ein Assistent, der fremde Mails liest und selbst Mails verschicken darf, sollte vor jedem Versand auf die Bestätigung durch einen Menschen warten.

Basisschutz des BSI. Die Empfehlungen vom 14. September 2026 gelten für Chat-Anwendungen, die hochgeladene Dokumente auswerten. Grundlage sind laut BSI Angriffstests an mehreren solchen Anwendungen. Nach einer Zusammenfassung des Blogs Urworte reichen die Maßnahmen von der Bereinigung des Textes bis zur Prüfung der fertigen Antwort. Das richtet sich nach meiner Einschätzung an die Anbieter solcher Chats. Wer ein fertiges Werkzeug wie Copilot oder ChatGPT nutzt, entscheidet vor allem über Rechte und Freigaben.

Schnelltest. Wer ein verdächtiges PDF prüfen will, markiert den gesamten Text und fügt ihn als reinen Text in ein leeres Dokument ein. Weiße und winzige Schrift erscheinen dann in normaler Darstellung. Unsichtbare Unicode-ZeichenUnicode ist der weltweite Standard für Schriftzeichen am Computer, manche dieser Zeichen sind unsichtbar und fallen beim Lesen nicht auf., die das BSI in seiner Übersicht zu generativer KI als Versteck nennt, findet dieser Test nicht.

Filter und Schnelltest fangen einen Teil der versteckten Zeilen ab. Was der Assistent ohne Rückfrage tun darf, legt der Betrieb fest, bevor das erste fremde PDF ankommt.

Peak Consulting in Niederösterreich prüft mit Ihnen, welche KI-Werkzeuge in Ihrem Haus fremde Dokumente lesen und was sie ohne Freigabe tun dürfen. Norbert Oberndorfer legt diese Rechte mit Ihnen fest, bevor das Werkzeug in Betrieb geht.