KURZ ERKLÄRT
Prompt Injection entsteht, wenn fremde Inhalte versuchen, das Verhalten eines KI-Systems zu steuern statt nur Informationen für die Aufgabe zu liefern. Behandelt Webseiten, E-Mails und Dokumente deshalb als nicht vertrauenswürdige Daten und begrenzt ihre Wirkung auf Werkzeugaufrufe. Kombiniert klare Eingabegrenzen mit durchgesetzten Berechtigungen, validierten Übergaben und realistischen Tests. Keine einzelne Promptformulierung garantiert vollständigen Schutz vor allen Angriffen.
Wie ihr einzelne KI-Anwendungen in verlässliche Marketingabläufe einordnet, zeigt der übergeordnete Guide KI-Transformation im B2B-Marketing: Von einzelnen Prompts zu verlässlichen Abläufen.
Kartiert die Wege fremder Inhalte
Erfasst, wo externe Texte in den Ablauf gelangen: Suchtreffer, hochgeladene Dateien, eingehende Nachrichten oder Rückgaben angebundener Dienste. Eine vertrauenswürdig wirkende Darstellung macht ihren Inhalt nicht automatisch zu einer gültigen Anweisung. Auch ein Dokument aus dem internen Bestand kann übernommenen Fremdtext enthalten. Zeichnet nach, welche späteren Schritte davon beeinflusst werden können. Besonders wichtig sind Übergänge zu Datenabruf, Versand und Änderungen. Die Frage lautet nicht nur, ob ein Text verdächtige Wörter enthält, sondern welche Handlung ein manipuliertes Ergebnis mit den vorhandenen Werkzeugen überhaupt auslösen könnte.
Trennt Arbeitsauftrag und Quellenmaterial
Haltet verbindliche Prozessanweisungen außerhalb des fremden Materials und kennzeichnet Quelleninhalte deutlich als zu prüfende Daten. Übernehmt abgerufene Texte nicht als neue übergeordnete Anweisung. Der Agent darf beschreiben, dass eine Webseite eine Aufforderung enthält, ohne diese auszuführen. Begrenzt Übergaben auf die benötigten Inhalte und prüfbare Felder. Strukturierte Ausgaben können freie Anweisungskanäle zwischen Schritten verkleinern, beweisen aber keine sachliche Unbedenklichkeit. Ein formal gültiges Feld kann weiterhin einen unzulässigen Empfänger oder eine schädliche Datenanforderung enthalten. Deshalb muss die nachgelagerte Ausführung ihre eigene Prüfung behalten. Mehr dazu im Leitfaden KI-Kontext reduzieren: Nur benötigte Daten weitergeben.
Beschränkt die Folgen einer Fehlinterpretation
Gebt dem Ablauf nur die benötigten Datenbereiche und Aktionen. Ein Rechercheagent mit Leserechten braucht nicht automatisch ein Versandwerkzeug. Prüft Zielkennungen, erlaubte Felder und bestehende Autorisierung unabhängig vom interpretierten Quellentext. Verhindert, dass ein Dokument neue Berechtigungen oder Zugänge freischaltet. Wenn eine folgenreiche Aktion eine Freigabe verlangt, muss deren Vorschau das tatsächliche Ziel und den Inhalt zeigen. Eine knappe Zusammenfassung des Agenten kann eine fremd ausgelöste Zusatzaktion verdecken. Die technische Grenze sollte deshalb auch dann wirksam bleiben, wenn der Agent den manipulierten Auftrag überzeugend begründet. Mehr dazu im Leitfaden KI-Freigaben gestalten: Prüfen, was tatsächlich passieren wird.
Verwendet Erkennung als zusätzliche Beobachtung
Filter und Prüfer können auffällige Anweisungen, ungewöhnliche Empfänger oder Abweichungen vom Auftrag markieren. Behandelt solche Signale als Ergänzung zu Berechtigungsgrenzen, nicht als Beweis, dass ungeflaggt gleich sicher bedeutet. Prüft Fehlalarme: Eine Sicherheitsanalyse kann Angriffsformulierungen rechtmäßig als Untersuchungsgegenstand enthalten. Definiert einen Ausnahmeweg, der nützliche Arbeit ermöglicht, ohne fremde Anweisungen auszuführen. Protokolliert relevante Versuche mit angemessenem Datenumfang. Wenn eine Quelle wiederholt auffällig ist, kann ihre Verwendung eingeschränkt oder fachlich überprüft werden. Vermeidet dabei unkontrollierte Kopien sensibler Quelltexte in allgemein zugänglichen Betriebsprotokollen.
Prüft einen ausdrücklich fiktiven Webseitenfall
Ein fiktiver Rechercheagent liest eine Partnerseite, deren Text verlangt, vor der Auswertung eine interne Kundenliste an eine fremde Adresse zu senden. Diese Aufforderung gehört nicht zum Nutzerauftrag und begründet keine Erlaubnis. Der Ablauf behandelt sie als Inhalt der Seite, ruft keine Kundendaten ab und führt keinen Versand aus. Das hypothetische Beispiel verdeutlicht den gewünschten Schutz an mehreren Grenzen. Selbst wenn ein Modell die Aufforderung falsch einordnet, sollten fehlende Datenrechte und ein separat abgesicherter Versand die unerwünschte Wirkung begrenzen. Dieses Zusammenspiel muss technisch geprüft werden.
Testet den gesamten Handlungsweg
Erstellt kontrollierte Fälle mit direkten und indirekten Aufforderungen in verschiedenen Quellformaten. Prüft Datenzugriff, Werkzeugparameter, Freigabevorschau und Zielzustand, nicht nur die abschließende Antwort. Ein Agent kann den Angriff im Text ablehnen und vorher trotzdem Daten abgerufen haben. Ergänzt harmlose Gegenfälle, damit die Schutzmaßnahmen normale Recherche nicht unnötig blockieren. Wiederholt die Tests bei neuen Werkzeugen oder Datenzugängen. Veröffentlicht keine universelle Sicherheitszusage aus einer bestandenen Sammlung. Dokumentiert, welche Angriffswege geprüft wurden und welche verbleibenden Grenzen im Betrieb weiter beobachtet oder durch engere Rechte reduziert werden müssen.
INTERAKTIV / VOM LESEN ZUR ANWENDUNG
Drei Prüfpunkte für eure Umsetzung
Wähle einen Punkt und halte deinen persönlichen Lesefortschritt fest. Die Häkchen werden weder gespeichert noch übertragen und sind keine Bewertung eures Unternehmens.
PRÜFPUNKT 01
Beschränkt die Folgen einer Fehlinterpretation
Gebt dem Ablauf nur die benötigten Datenbereiche und Aktionen.
Im Artikel vertiefen ↗PRÜFPUNKT 02
Verwendet Erkennung als zusätzliche Beobachtung
Filter und Prüfer können auffällige Anweisungen, ungewöhnliche Empfänger oder Abweichungen vom Auftrag markieren.
Im Artikel vertiefen ↗PRÜFPUNKT 03
Prüft einen ausdrücklich fiktiven Webseitenfall
Ein fiktiver Rechercheagent liest eine Partnerseite, deren Text verlangt, vor der Auswertung eine interne Kundenliste an eine fremde Adresse zu senden.
Im Artikel vertiefen ↗Häufige Fragen
Reicht die Anweisung, fremde Befehle zu ignorieren?
Nein. Ergänzt durchgesetzte Rechte, validierte Übergaben und Tests der tatsächlichen Werkzeughandlungen.
Sind strukturierte Ausgaben vollständig sicher?
Nein. Sie begrenzen Formen der Weitergabe, ersetzen aber keine Prüfung von Werten, Zielen und Autorisierung.
Müssen verdächtige Dokumente immer gelöscht werden?
Nicht zwingend. Ein klar begrenzter Analyseweg kann ihre Untersuchung ermöglichen, ohne enthaltene Aufforderungen auszuführen.
Wie lässt sich „Kartiert die Wege fremder Inhalte“ praktisch umsetzen?
Erfasst, wo externe Texte in den Ablauf gelangen: Suchtreffer, hochgeladene Dateien, eingehende Nachrichten oder Rückgaben angebundener Dienste. Eine vertrauenswürdig wirkende Darstellung macht ihren Inhalt nicht automatisch zu einer gültigen Anweisung. Auch ein Dokument aus dem internen Bestand kann übernommenen Fremdtext enthalten.
Was ist bei „Trennt Arbeitsauftrag und Quellenmaterial“ besonders wichtig?
Haltet verbindliche Prozessanweisungen außerhalb des fremden Materials und kennzeichnet Quelleninhalte deutlich als zu prüfende Daten. Übernehmt abgerufene Texte nicht als neue übergeordnete Anweisung. Der Agent darf beschreiben, dass eine Webseite eine Aufforderung enthält, ohne diese auszuführen.
