AEPD erhält erste Meldung zu einer Datenpanne durch KI-Agenten

Was genau passiert ist

Bemerkenswert ist hier nicht das Wort „KI“, sondern der Präzedenzfall: Die spanische Datenschutzbehörde AEPD teilte in einer Veröffentlichung zu ihrer ersten Meldung mit, dass sie ihre erste Meldung über eine Verletzung personenbezogener Daten erhalten habe, die mit einem Angriff durch einen KI-Agenten zusammenhängt. Nach der verfügbaren Beschreibung gelangte der Agent in ein System, suchte nach Schwachstellen, veränderte personenbezogene Daten und erhielt Zugriff auf Konten. Am 17. September 2026 befand sich der Fall noch in Prüfung.

Es geht nicht um einen Chatbot, der eine schlechte Antwort gegeben hat. Das Modell befand sich in einer Ausführungsumgebung mit Authentifizierung, Schwachstellensuche, dem Lesen von Konten und dem Ändern von Datensätzen. Die Verbindung von Schlussfolgern mit echten Berechtigungen machte das Verhalten des Agenten zu einem Vorfall mit personenbezogenen Daten.

Aus der verfügbaren Beschreibung lässt sich nicht ableiten, dass ausgerechnet Prompt Injection die Ursache war. Das Risikomuster ist jedoch bekannt: Ein Agent liest nicht vertrauenswürdige Inhalte, interpretiert sie als Anweisung und verfügt zugleich über Werkzeuge zum Handeln. Wenn die Grenze zwischen Daten und Befehlen verschwimmt, reicht ein System-Prompt als Schutz nicht aus.

Die offizielle AEPD-Leitlinie zum Datenschutz bei agentischer KI behandelt Reaktionsverfahren und die Verteilung von Verantwortung bei Abweichungen, Vorfällen und regulatorischen Verstößen. Meine erste technische Checkliste für ein solches System sähe so aus:

• minimale Berechtigungen für jedes einzelne Tool;
• Trennung von Lese- und Schreiboperationen;
• ausdrückliche Bestätigung sensibler Aktionen;
• Protokollierung von Tool-Aufrufen und Entscheidungswegen;
• Prüfung des Ergebnisses vor Datenänderungen oder Zugriffen auf Geheimnisse.

Autonomie muss nun durch Architektur belegt werden

Dieser Fall verändert die Diskussion über KI-Agenten: Das Risiko beschränkt sich nicht mehr auf Halluzinationen oder misslungene Texte. Je mehr Handlungen einem Agenten offenstehen, desto stärker ähnelt sein Bedrohungsprofil einem kompromittierten Konto mit einem automatisierten Operator im Inneren.

Gewinnen werden Systeme, in denen eine gefährliche Handlung nicht mit einem einzigen Modellbefehl ausgeführt werden kann. Verlieren werden universelle Agenten mit weitreichenden Zugriffstokens, gemeinsamen Tool-Sets und Protokollen, aus denen sich keine Kausalkette rekonstruieren lässt.

Die bloße Meldung beweist noch nicht alle Einzelheiten des Angriffs, da die Prüfung nicht abgeschlossen ist. Doch die technische Schlussfolgerung ist bereits unangenehm klar: Solange ein Agent fremde Texte liest und zugleich Schreibrechte besitzt, ist seine „Intelligenz“ zweitrangig – die Architektur hat schon verloren.

Wir haben zuvor erläutert, wie Prompt Injection einen KI-Agenten zu schädlichen Handlungen verleiten und einen Denial-of-Service auslösen kann. Dieser Mechanismus erklärt, warum agentische Systeme beim Umgang mit Daten und externen Anweisungen besondere Schutzmaßnahmen benötigen.