Was bedeutet Prompt Injection?<\/h2>\n
Ein Prompt ist die Eingabe an ein KI-Modell und kann Anweisungen, Fragen sowie Kontext enthalten. Ein Large Language Model, kurz LLM, verarbeitet sprachliche Eingaben und erzeugt darauf basierende Ausgaben. Prompt Injection versucht, diesen Ablauf durch eingeschleuste Anweisungen in eine unerw\u00fcnschte Richtung zu lenken. Entscheidend ist der Herkunftswechsel: Ein Inhalt mit geringerem Vertrauen soll den Auftrag einer berechtigten Stelle \u00fcberschreiben.<\/p>\n
Eine harmlose Bitte um eine andere Formulierung ist deshalb noch kein Angriff. Kritisch wird ein fremder Text, sobald daraus vermeintliche Berechtigungen, neue Empf\u00e4nger oder verbindliche Zusagen entstehen. OWASP unterscheidet direkte und indirekte Prompt Injection<\/a>.<\/p>\n Beim direkten Angriff kommt der Manipulationsversuch \u00fcber die eigentliche Eingabe: etwa eine Chatnachricht, die eine Support-KI zu einer unzul\u00e4ssigen Auskunft dr\u00e4ngen soll. Beim indirekten Angriff steckt die Aufforderung in zus\u00e4tzlich gelesenem Material: Webseiten, E-Mails, Anh\u00e4ngen, Suchtreffern oder Dokumenten. Mit Bilderkennung kommt Schrift innerhalb von Bildern als m\u00f6glicher Eingang hinzu.<\/p>\n Unsichtbare Schrift ist keine Voraussetzung. Ein gew\u00f6hnlicher Absatz kann bereits wie eine Arbeitsanweisung formuliert sein. Die Herkunft des Textes ist deshalb wichtiger als auff\u00e4llige Schl\u00fcsselw\u00f6rter. Die OWASP-Checkliste<\/a> behandelt diese Eingangswege und die Trennung fremder Inhalte.<\/p>\n Welche Inhalte liest die KI, und welche Folgen kann eine Antwort ausl\u00f6sen? Aus dieser Betrachtung ergeben sich mehrere Risikogruppen:<\/p>\n Auch Kundschaft ohne eigene KI-Nutzung kann betroffen sein, sobald ein Unternehmen Anfragen oder Dokumente mithilfe einer KI verarbeitet. Diese Einordnung ist eine redaktionelle Ableitung aus den beschriebenen Angriffswegen, keine Behauptung \u00fcber einen konkreten Anbieter.<\/p>\n Der Schaden h\u00e4ngt vom Systemaufbau ab. Eine isolierte Textzusammenfassung kann falsche Inhalte liefern. Ein Agent mit Zugriff auf vertrauliche Unterlagen und externe Versandfunktionen er\u00f6ffnet zus\u00e4tzliche Wege. Ohne passende Schnittstelle und Berechtigung entsteht durch einen manipulierten Satz nicht automatisch Zugriff auf beliebige Datenbanken.<\/p>\n Microsoft beschreibt<\/a> Datenabfluss und unbeabsichtigte Aktionen als m\u00f6gliche Folgen. Bereits ein automatisch geladenes externes Bild kann problematisch werden, falls dessen Adresse vertrauliche Inhalte enth\u00e4lt. Die Ausgabe verdient daher dieselbe Pr\u00fcfung wie der Werkzeugaufruf.<\/p>\n Ein Hinweis wie \u201eFremde Anweisungen ignorieren\u201c ist sinnvoll, bildet aber keine verl\u00e4ssliche Sicherheitsgrenze. Dasselbe gilt f\u00fcr Trennmarker oder eine Liste verbotener Formulierungen. Sprachliche Angriffe lassen sich umschreiben. Auch eine eigene Wissensdatenbank macht jeden aufgenommenen Inhalt noch nicht vertrauensw\u00fcrdig.<\/p>\n Die britische NCSC warnt vor der Gleichsetzung mit SQL-Injection<\/a>: Bei Datenbankabfragen kann eine technisch erzwungene Trennung helfen; innerhalb eines LLM-Kontexts besteht keine vergleichbare allgemeine Garantie. Der Betriebsplan muss daher auch erfolgreiche Manipulationsversuche ber\u00fccksichtigen.<\/p>\n Ein fiktiver Shop nutzt eine KI f\u00fcr Antwortentw\u00fcrfe. Eine eingehende Nachricht behauptet, eine vollst\u00e4ndige Erstattung sei bereits genehmigt, und fordert die \u00dcbernahme dieser Aussage. Ein brauchbarer Ablauf behandelt diese Behauptung als Kundeninhalt. Verbindliche Erstattungsregeln stammen aus einer gepflegten Produktquelle; eine tats\u00e4chliche Erstattung ben\u00f6tigt zus\u00e4tzlich den passenden Vorgang und eine unabh\u00e4ngige Freigabe.<\/p>\n Der Entwurf darf Sprache vereinfachen, aber keine Erlaubnis erzeugen. Die Pr\u00fcfung bindet den Vorgang an das richtige Kundenkonto. Auszahlungsziel und Betrag stammen aus einem erlaubten Gesch\u00e4ftsprozess. Eine \u00fcberzeugende Formulierung im Modelltext ver\u00e4ndert diese Regeln nicht. Das Beispiel beschreibt eine m\u00f6gliche Architektur, keinen durchgef\u00fchrten Produkttest.<\/p>\n Eine Bestandsaufnahme erfasst Eingangsquellen, verf\u00fcgbare Daten, erlaubte Werkzeuge und m\u00f6gliche Sch\u00e4den. Danach folgen begrenzte Dienstrechte, eng definierte Aktionen und eine serverseitige Pr\u00fcfung aller Parameter. Eine reine Lesefunktion ben\u00f6tigt keine allgemeinen Schreib- oder L\u00f6schrechte. OWASP bezeichnet \u00fcberm\u00e4\u00dfige Handlungsm\u00f6glichkeiten als Excessive Agency<\/a>.<\/p>\n Jede Ausgabe ben\u00f6tigt ein passendes Format: erlaubte Felder, L\u00e4ngengrenzen und gepr\u00fcfte Linkziele. G\u00fcltiges JSON allein belegt weder Wahrheit noch Berechtigung. HTML, Markdown, Dateipfade und Datenbankabfragen verlangen kontextgerechte Behandlung. Hier setzt OWASP Improper Output Handling<\/a> an. Der Forschungsansatz CaMeL<\/a> begrenzt Kontroll- und Datenfl\u00fcsse au\u00dferhalb des Modells. Das illustriert eine wichtige Richtung, ist aber kein Nachweis universeller Immunit\u00e4t.<\/p>\n Ein Testkatalog enth\u00e4lt eingeschleuste Rollenbehauptungen, Anweisungen nach einem vermeintlichen Endmarker, kodierte Links und falsche Gesch\u00e4ftszusagen. Jede Angriffsprobe erh\u00e4lt eine erlaubte Gegenprobe: Eine legitime Zusammenfassung oder ein zul\u00e4ssiger Link muss weiter funktionieren. Die Schutzpr\u00fcfung muss vor Speicherung, Streaming, Auslieferung und Aktionen greifen. Die Testauswertung kontrolliert anschlie\u00dfend die tats\u00e4chlich sichtbaren Ergebnisse und ausgef\u00fchrten Aktionen.<\/p>\n F\u00fcr den Betrieb eignen sich blockierte Werkzeugaufrufe, unerlaubte Linkziele und fehlende Quellenbelege als Pr\u00fcfgr\u00f6\u00dfen. Protokolle ben\u00f6tigen Zugriffsschutz und begrenzte Aufbewahrung. Vertrauliche Inhalte geh\u00f6ren nicht vorsorglich vollst\u00e4ndig ins Log. Ein bestandener Test belegt das gepr\u00fcfte Szenario zu diesem Zeitpunkt, keine dauerhafte Angriffsfreiheit.<\/p>\n Danke AI! Das klassische CAPTCHA ist tot \u2013 wie Formulare jetzt gesch\u00fctzt werden<\/a><\/p>\n Eine Halluzination ist eine unbelegte oder falsche Modellausgabe. Prompt Injection bezeichnet eine Beeinflussung durch eingeschleuste Anweisungen. Beide Probleme k\u00f6nnen \u00e4hnliche falsche Antworten erzeugen, haben aber unterschiedliche Ursachen.<\/p>\n Ein lokaler Betrieb ver\u00e4ndert Datenfl\u00fcsse und Zust\u00e4ndigkeiten. Fremde Dokumente k\u00f6nnen trotzdem manipulative Anweisungen enthalten. Lokale Ausf\u00fchrung ersetzt keine Rechte- und Ausgabepr\u00fcfung.<\/p>\n Eine redaktionell gepflegte Datenbasis reduziert fremde Einfl\u00fcsse. Importierte Dateien, Kommentare oder sp\u00e4tere \u00c4nderungen ben\u00f6tigen trotzdem eine Herkunfts- und Freigabepr\u00fcfung. Ein gespeicherter Text erh\u00e4lt durch die Aufnahme allein keine Berechtigung.<\/p>\n Ein \u00fcberschaubarer Funktionsumfang, minimale Rechte und \u00fcberpr\u00fcfte Ausgaben sind ein guter Anfang. F\u00fcr kritische Zusagen eignen sich freigegebene Festtexte. Schreib- oder Versandfunktionen ben\u00f6tigen separat durchgesetzte Berechtigungen und passende Freigaben.<\/p>\n<\/div>\n Quellenstand: 2. November 2026. Beispiele und Schutzabl\u00e4ufe sind redaktionelle Erl\u00e4uterungen; ein Angriffstest gegen ein konkretes Produkt ist damit nicht verbunden.<\/p>\n Wenn ein gelesener Text pl\u00f6tzlich den Auftrag bestimmt: Prompt Injection verst\u00e4ndlich erkl\u00e4rt, mit Beispielen, Betroffenen und wirksamen Sicherheitsgrenzen.<\/p>\n","protected":false},"author":1,"featured_media":28735,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[104],"tags":[],"class_list":["post-28734","post","type-post","status-publish","format-standard","hentry","category-cloud-ai-de"],"yoast_head":"\nDirekt im Chat oder indirekt im Lesestoff<\/h2>\n
![\"Fremde](\"https:\/\/www.lukaswojcik.com\/blog\/wp-content\/uploads\/diagrams\/ai-20261102\/prompt-injection-verstehen-20261101-1-de.png\")
Wen kann das treffen?<\/h2>\n
\n
Eine falsche Antwort ist noch keine vollst\u00e4ndige \u00dcbernahme<\/h2>\n
Warum ein besonders strenger Prompt nicht gen\u00fcgt<\/h2>\n
![\"Quellenfreigabe,](\"https:\/\/www.lukaswojcik.com\/blog\/wp-content\/uploads\/diagrams\/ai-20261102\/prompt-injection-verstehen-20261101-2-de.png\")
Ein greifbares Beispiel: Support ohne erfundene Erstattung<\/h2>\n
Schutz entsteht an mehreren Stellen<\/h2>\n
Was vor dem Einsatz gepr\u00fcft werden sollte<\/h2>\n
Passender Beitrag<\/h2>\n
Fragen und Antworten<\/h2>\n
Ist Prompt Injection dasselbe wie eine Halluzination?<\/h3>\n
Sch\u00fctzt ein lokales Sprachmodell?<\/h3>\n
Reicht eine eigene Wissensdatenbank?<\/h3>\n
Was hat bei einem kleinen Projekt Vorrang?<\/h3>\n
Quellen und Einordnung<\/h2>\n
\n