Agentic AI als Angriffsfläche: Wenn KI-Agenten zum Sicherheitsrisiko werden

Was geschah: Ein Support-Bot verschenkte fremde Konten

Ende Mai 2026 übernahmen Angreifer prominente Instagram-Konten, ohne ein einziges Passwort zu knacken. Sie öffneten einen Chat mit Metas KI-Support-Assistenten und baten ihn, eine von ihnen kontrollierte E-Mail-Adresse an ein fremdes Konto zu hängen. Der Bot tat das im Rahmen seines normalen Ablaufs, schickte den Bestätigungscode an die Angreifer-Adresse und gab damit den Weg zum Passwort-Reset frei. Es war kein technischer Einbruch, sondern eine erfüllte Bitte.

Betroffen waren laut Berichten unter anderem das Instagram-Konto des Weißen Hauses aus der Obama-Zeit und das eines ranghohen Vertreters der US Space Force. Meta erklärte das Problem am 1. Juni 2026 für behoben, doch in den Tagen danach meldeten weitere Nutzer und Sicherheitsforscher übernommene Konten. Instagram begann, gezielt gewarnte Betroffene zu informieren. Konten mit Mehr-Faktor-Authentifizierung blieben verschont, schon ein einfacher SMS-Code hätte den Angriff gestoppt.

Warum KI-Agenten eine neue Angriffsfläche öffnen

Klassische Chatbots geben Auskunft, Agenten handeln. Dieser Schritt von der Antwort zur Aktion verschiebt das Risiko grundlegend. Ein Agent ruft Programmierschnittstellen auf, ändert Datensätze und löst Transaktionen aus. Eine Anweisung in natürlicher Sprache kann damit zur Ausführung werden, ohne dass eine herkömmliche Kontrolle anschlägt. Der Meta-Vorfall ist die anschauliche Form eines allgemeinen Problems.

Der Angriff auf Meta lief durch den ganz normalen Support-Ablauf. Im Sicherheitsteam ging kein Alarm ein, weil formal nichts Verbotenes passierte. Sprachschnittstellen lassen sich nur schwer begrenzen, denn was sich formulieren lässt, lässt sich auch als legitimer Auftrag tarnen. Prompt-basierte Schutzregeln im Systemtext versagen gegen anpassungsfähige Angriffe. Nötig sind externe, feste Kontrollen, die unabhängig vom Modellverhalten greifen.

Die Zahlen: Verbreitung überholt Kontrolle

KI-Agenten verbreiten sich schneller, als Unternehmen sie absichern. Mehrere Erhebungen aus 2026 zeigen eine breite Lücke zwischen Einsatz und Kontrolle, und ein gefährliches Maß an Selbstüberschätzung. 48 Prozent der Sicherheitsfachleute nennen agentische KI den wichtigsten Angriffsvektor für 2026. Zugleich behandelt nur ein kleiner Teil der Teams Agenten als eigenständige Identität.

Die größte Schwachstelle ist nicht ein einzelner Vorfall, sondern die Selbstüberschätzung. 88 Prozent der befragten Organisationen berichten von bestätigten oder vermuteten Agenten-Sicherheitsvorfällen im letzten Jahr, doch 82 Prozent der Führungskräfte halten ihre bestehenden Richtlinien für ausreichend. Diese Differenz ist das eigentliche Risiko, weil sie gezielte Verbesserung verhindert.

Die wichtigsten Risikoklassen nach OWASP

OWASP hat 2026 erstmals eine Top-10-Liste speziell für agentische KI-Anwendungen veröffentlicht. Sie benennt Risiken, die es bei klassischer Software in dieser Form nicht gab, weil Agenten Ziele verfolgen, ein Gedächtnis führen und Werkzeuge bedienen. Vier Klassen sind für die Praxis besonders relevant.

Diese Klassen lassen sich nicht durch bessere Formulierungen im Systemprompt schließen. Sie verlangen technische Leitplanken außerhalb des Modells: feste Prüfungen vor dem Werkzeugaufruf, getrennte und überwachte Gedächtnisse sowie eng begrenzte Rechte. Das BSI verweist in seinen Leitlinien zur sicheren KI-Entwicklung auf genau solche externen Kontrollen.

Deutsche und europäische Perspektive

Für deutsche Unternehmen ist das kein Randthema. KI-Agenten gehören laut Bitkom zu den am schnellsten wachsenden Einsatzfeldern, und die Regulierung rückt näher. 41 Prozent der deutschen Unternehmen nutzen KI aktiv, mehr als doppelt so viele wie die 17 Prozent von 2024. Wer Agenten im Kundenkontakt oder in internen Abläufen einsetzt, betreibt damit eine sicherheitsrelevante Komponente, oft ohne sie so zu behandeln.

Ab dem 2. August 2026 greifen die Pflichten des EU AI Act für Hochrisiko-Systeme. Verlangt werden Widerstandsfähigkeit gegen Manipulation und eine nachvollziehbare Kette von der menschlichen Freigabe über die Agenten-Identität bis zur ausgeführten Aktion. Die Begründung "Die KI war es" gilt dabei nicht als Verteidigung. Wer einen Agenten betreibt, bleibt für dessen Aktionen verantwortlich.

Herausforderungen und Gegenstimmen

Nicht jede Alarmstimmung ist berechtigt, und ein Teil der Lücke ist ein Wahrnehmungsproblem, kein technisches. Eine ausgewogene Sicht hilft mehr als Panik. Kritische Stimmen warnen, dass Agenten ohne Governance vom Nutzenversprechen zum Sicherheitsrisiko kippen können. Gleichzeitig zeigt der Meta-Fall, dass einfache Grenzen oft ausreichen.

• Kosten gegen Nutzen: 33 Prozent der Unternehmen berichten laut Bitkom, dass KI teurer ausfällt als erwartet. Sicherheitsaufwand kommt obendrauf und konkurriert mit dem Produktivitätsversprechen.
• Einfache Grenzen wirken: Der Meta-Vorfall scheiterte an einer fehlenden Prüfung, nicht an exotischer Technik. Mehr-Faktor-Authentifizierung hätte die Übernahmen verhindert. Viele Risiken lassen sich mit bekannten Mitteln senken.
• Selbstüberschätzung als Kernrisiko: Wenn 82 Prozent ihre Regeln für ausreichend halten, die Praxis aber das Gegenteil zeigt, fehlt die Grundlage für gezielte Verbesserung. Ehrliche Bestandsaufnahme ist der erste Schritt.
• Tempo der Angreifer: Dieselben Agenten, die Verteidiger entlasten, helfen auch Angreifern, Schwächen schneller zu finden. Der Schutz muss mit dem Tempo der Werkzeuge mithalten.

Was Unternehmen jetzt tun sollten

Die wirksamsten Maßnahmen sind nicht spektakulär. Sie verlagern die Kontrolle weg vom Vertrauen in den Agenten hin zu festen Prüfungen vor jeder Aktion. Im Kern geht es um eine durchgehende Rechenschaftskette: Jede Aktion lässt sich von der menschlichen Freigabe über eine eindeutige Identität bis zur ausgeführten Aktion zurückverfolgen.

Diese Kette ist zugleich der Rahmen, den der EU AI Act für Hochrisiko-Systeme erwartet. Sie lässt sich in fünf konkreten Schritten umsetzen, die unabhängig vom eingesetzten Agenten-Framework funktionieren.

Fünf Schritte zu mehr Agenten-Sicherheit

1. Agenten als eigene Identität führen

   Gib jedem Agenten eine eindeutige, nachvollziehbare Identität statt geteilter API-Schlüssel. Nur so lässt sich jede Aktion einem Verantwortlichen zuordnen, und kompromittierte Agenten lassen sich gezielt abschalten.

2. Rechte nach Least Privilege begrenzen

   Vergib Rechte nur für den konkreten Auftrag, fachlich und zeitlich eng begrenzt. Ein Support-Agent darf Auskunft geben, aber nicht eigenmächtig Kontaktdaten ändern. Prüfe jede Berechtigung gegen den realen Bedarf.

3. Vor jeder Aktion prüfen

   Setze eine feste Autorisierung vor jeden Werkzeug- oder Schnittstellenaufruf. Sensible Schritte wie das Ändern von Zugangsdaten oder das Auslösen von Zahlungen brauchen eine zusätzliche menschliche Freigabe.

4. Durchgehend protokollieren

   Erfasse jede Agenten-Aktion in einem Audit-Log und ordne sie einer Identität zu. Anomalie-Erkennung meldet ungewöhnliche Zugriffe, bevor aus einem Vorfall ein Schaden wird. NIS2 verlangt ohnehin belastbare Nachweise.

5. An etablierten Rahmen ausrichten

   Orientiere dich an OWASP für agentische KI , ISO/IEC 42001 und dem NIST AI Risk Management Framework, statt eigene Insellösungen zu bauen. Eine fundierte Einordnung zu KI-Agenten-Governance im Enterprise und zu KI-Agenten und Enterprise-Sicherheit findest du in den verlinkten Artikeln.

Weiterführende Informationen

Häufig gestellte Fragen