Sind KI-Agenten sicher mit Ihren Daten?

Ja, aber nur, wenn Sie ihn an der kurzen Leine halten. Ein KI-Agent ist kein einfacher Chatbot. Er erhält Zugriff auf Ihre E-Mails, Ihren Kalender, Ihre Dateien und Ihre Konten. Und er kann über viele Schritte hinweg für Sie handeln. Was immer Sie verbinden, kann er lesen. Dieser Inhalt wird anschließend an den Modellanbieter gesendet, damit er ihn auswertet. Zwei Risiken stechen hervor. Weitreichende Berechtigungen erlauben es einem Agenten, ein ganzes Postfach zu lesen. Und Prompt Injection erlaubt es einer versteckten Anweisung, ihn zu kapern. Die Lösung hat einen Namen: das Prinzip der geringsten Rechte. Gewähren Sie den engsten Zugriff, behalten Sie einen menschlichen Freigabeschritt bei und anonymisieren Sie sensible Eingaben, bevor Sie sie senden.

Was ein KI-Agent wirklich ist

Beginnen wir mit dem Unterschied. Ein Chatbot antwortet. Ein Agent handelt. Sie geben ihm ein Ziel, und er führt die Schritte selbstständig aus. Er kann im Web surfen, Ihre Dateien lesen und Nachrichten senden. Dafür braucht er Zugriff und Berechtigungen auf Ihre Konten. Dieser Wechsel — vom Antworten zum Handeln — verändert das gesamte Risikoprofil.

Agenten treten in vielen Formen auf. Ein KI-Browser, der sich für Sie durch die Seiten klickt. Eine Browsererweiterung, die liest, was auf dem Bildschirm steht. Ein Meeting-Assistent, der Ihren Anrufen beitritt. Jeder ist ein engerer Fall derselben Idee. Alle erhalten Zugriff. Und alle senden, was sie sehen, an ein Modell.

Das zentrale Risiko: zu viele Berechtigungen

Hier liegt der Kern. Was immer ein Agent erreichen kann, kann er lesen. Verbinden Sie ihn mit Ihrem gesamten Postfach, und er liest jede Nachricht. Verbinden Sie ihn mit Ihrem Dateispeicher, und er liest jede Datei. Überberechtigung ist das zentrale Datenrisiko. Der Umfang, den Sie gewähren, entscheidet, was abfließen kann.

Und es bleibt nicht lokal. Was immer der Agent liest, wird an den Modellanbieter gesendet, damit er es auswertet. Ein weitreichender Umfang ist also nicht nur Zugriff. Er ist eine Leitung von Ihren privaten Daten zu einem externen System.

• Ihr gesamtes Postfach: jede Nachricht, jeder Verlauf und jeder Anhang.
• Ihr Kalender: wen Sie treffen, wann und worüber.
• Ihre Dateien: Verträge, Exporte und Arbeitsnotizen.
• Ihre verbundenen Konten: alles, was der Login freischaltet.

Prompt Injection: die charakteristische Bedrohung

Nun die charakteristische Bedrohung. Sie heißt Prompt Injection. Die OWASP stuft sie als LLM01 ein: das Sicherheitsrisiko Nummer eins für Anwendungen mit LLM (großen Sprachmodellen). Eine präparierte Eingabe bringt das Modell dazu, den Anweisungen eines Angreifers statt Ihren zu folgen. Der Haken: Die Eingabe muss nicht sichtbar sein. Versteckter Text, den ein Mensch nicht sieht, zählt trotzdem, sobald das Modell ihn liest.

Die OWASP teilt sie in zwei. Die direkte Injection steckt in Ihrem eigenen Prompt. Die indirekte Injection verbirgt sich in einer Webseite, einer E-Mail oder einem Dokument, das der Agent liest. Diese zweite Art ist die Gefahr für Agenten. Eine bösartige Seite kann Befehle tragen, die Ihren Assistenten kapern — um Ihre Daten abfließen zu lassen oder gegen Sie zu handeln.

Excessive Agency: wenn Aktionen schwer rückgängig zu machen sind

Injection wird schlimmer, wenn der Agent handeln kann. Die OWASP führt das gesondert als Excessive Agency, LLM06. Es ist das Risiko, einem System zu viel Macht zu geben — zu viele Berechtigungen, Werkzeuge oder die Fähigkeit zu handeln — ohne angemessene Kontrollen. Ein gekaperter Agent, der nur liest, ist schlimm. Ein gekaperter Agent, der auch senden, löschen oder kaufen kann, ist weit schlimmer.

Autonome Aktionen sind zudem schwer zu überprüfen oder rückgängig zu machen. Ein Agent kann in einem einzigen Schritt eine E-Mail senden, eine Datei löschen oder eine Bestellung aufgeben. Vielleicht bekommen Sie es nicht mit. Und vielleicht können Sie es nicht rückgängig machen. Deshalb ist ein menschlicher Freigabeschritt so wichtig.

Wie Sie sicher bleiben: das Prinzip der geringsten Rechte

Die Lösung hat einen Namen: das Prinzip der geringsten Rechte. Gewähren Sie den engsten Zugriff, den die Aufgabe tatsächlich braucht. Das ist auch die Logik des Rechts. Die ICO setzt einen Grundsatz der Datenminimierung durch. Es ist Artikel 5(1) der UK-DSGVO, der britischen Fassung der DSGVO. Er verlangt, dass personenbezogene Daten auf das Notwendige beschränkt bleiben. Derselbe Grundsatz steht in der EU-DSGVO. Verbinden Sie den kleinstmöglichen Umfang, und es gibt weit weniger, was abfließen kann.

1. 1Prüfen Sie genau, womit sich der Agent verbindet, und gewähren Sie den engsten Umfang.
2. 2Halten Sie Agenten von Ihren sensibelsten Konten und Postfächern fern.
3. 3Verlangen Sie eine menschliche Freigabe vor jedem Senden, Löschen oder Kauf.
4. 4Bevorzugen Sie Werkzeuge, die zeigen und protokollieren, was der Agent getan hat.
5. 5Anonymisieren Sie sensible Eingaben, bevor sie den Agenten oder das Modell erreichen.

Das NCSC gibt einen passenden Rat. Begrenzen Sie die Befugnisse, die Sie Agenten gewähren. Begegnen Sie ihren Ausgaben mit Skepsis und prüfen Sie sie nach. Für Teams empfiehlt es, die vollständige Ein- und Ausgabe des Modells sowie jeden Werkzeugaufruf zu protokollieren, mit Live-Überwachung. Dieselbe Regel deckt die engeren Fälle ab: KI-Browser, Erweiterungen und Meeting-Assistenten.

Sie können die Hilfe behalten und das Risiko kappen. Senden Sie dem Agenten weniger. Anonymisieren Sie die sensiblen Teile, bevor sie Ihr Gerät verlassen. Der Agent denkt weiterhin über Ihre Aufgabe nach. Er sieht nur nie die echten Werte.

Genau hier setzt ONYRI Sanitize an. Die Engine erkennt sensible Daten — Namen, E-Mails, IBANs, API-Schlüssel und mehr — und ersetzt sie durch umkehrbare Token, bevor etwas gesendet wird. Die Erkennung und das Mapping bleiben in Ihrem Browser. Der Agent und das Modell sehen nur Token. Die echten Werte stellen Sie lokal wieder her, auf die Antwort. Das passt genau zum Rat der OWASP, „die Eingabe zu filtern“, und zur Datenminimierung der ICO: Weniger Rohdaten erreichen den Agenten, also kann weniger abfließen.