Prompt Injection ist ein Berechtigungsproblem

Prompt Injection wird meist als Modellproblem verkauft: Das Modell müsse bösartige Anweisungen besser erkennen. Das ist nötig. Es reicht aber nicht.

Ein Agent, der E-Mails, Webseiten, Dokumente, Tickets oder Repositories liest, trifft auf Text, der ihn steuern will. Früher war das oft das plumpe „Ignoriere alle vorherigen Anweisungen“. Heute ähnelt es zunehmend Social Engineering: Dringlichkeit, scheinbare Autorität, ein plausibler Geschäftsprozess und ein hilfreich aussehender Link. OpenAI beschreibt genau diesen Wandel und warnt davor, dass Input-Filter allein den Schaden eines erfolgreichen Angriffs nicht begrenzen.¹

Daraus folgt für mich: Prompt Injection ist im Kern ein Berechtigungsproblem.

Nicht nur entscheidend ist, ob ein Agent einem bösartigen Satz glaubt. Entscheidend ist, was er danach tun darf.

Darf er nur eine Seite zusammenfassen, ist der Fehler peinlich. Darf er Daten an einen neuen Empfänger senden, eine Zahlung freigeben, ein Deployment ändern oder Code in einer privilegierten Umgebung ausführen, bekommt derselbe Fehler einen Preis.

Das Modell ist keine Sicherheitsgrenze

Ein Modell kann in seinem Kontextfenster nicht kryptografisch sicher zwischen Nutzerabsicht und feindlichen Anweisungen in fremdem Material unterscheiden. Herkunftsmarkierungen und eine Instruktionshierarchie helfen. Sie verwandeln beliebigen Prosa-Text aber nicht in einen vertrauenswürdigen Berechtigungskanal.

Die harte Grenze gehört deshalb zwischen vorgeschlagene Aktion und Ausführungsrecht.

Mein Test für jede Agentenfunktion ist einfach:

Wenn ein unzuverlässiges Dokument die Meinung des Agenten ändert: Was ist das Schlimmste, das er tun kann, bevor Mensch oder Policy-Engine ihn stoppen?

Lautet die Antwort „alles, was der Nutzer kann“, gibt es keine Guardrails. Dann hat man eine Browser-Erweiterung mit Geiselverhandlung.

Die OWASP Top 10 für Agentic Applications 2026 behandelt diese Klasse von Risiken, weil Agenten planen, handeln und Entscheidungen über ganze Workflows hinweg treffen statt bloss Text zu erzeugen.² Gefährlich ist nicht der seltsame Satz. Gefährlich ist die Schleife, die damit eine Vertrauensgrenze überschreitet.

Vier sauber getrennte Ebenen

Unvertrauenswürdiger Inhalt. E-Mail-Text, Webseiten, abgerufene Dokumente, Kommentare und Tool-Ausgaben sind Daten, keine Anweisungen. Ein Link im Dokument ist noch kein erlaubtes Ziel. Ein Satz, der Autorisierung behauptet, erteilt keine.

Absicht. Der Nutzerauftrag ist das Ziel und sollte stehen, bevor der Agent loszieht. „Anbieter recherchieren und Vergleich vorbereiten“ erlaubt weder Kontaktaufnahme noch Kontoerstellung noch das Weiterleiten interner Notizen. Ein Plan macht die Interpretation sichtbar; er ist keine Dekoration.

Berechtigung. Werkzeuge brauchen enge, typisierte Rechte. Lesen ist nicht Weiterleiten. Entwurf ist nicht Deployment. Schreiben, Senden, Kaufen, Löschen und Ausführen sind verschiedene Verben und verdienen verschiedene Kontrollen. Anthropic beschreibt Agenten als Schleife aus Planen, Handeln, Beobachten und Anpassen – und fordert menschliche Kontrolle dort, wo Urteil nötig ist.³ Der sinnvolle Checkpoint liegt vor einer folgenreichen Änderung: neuer externer Empfänger, Zugriff auf Geheimnisse, irreversible Schreiboperation oder Scope-Sprung.

Verifikation. Die Ausführungsebene prüft Fakten, die ein Modell nicht selbst bescheinigen darf: Steht der Empfänger auf der Allowlist? Ist die Domain genehmigt? Übersteigt die Aktion einen Grenzwert für Kosten, Löschen oder Veröffentlichung? Passt sie zum erklärten Plan?

Das Modell schlägt vor. Die Policy-Engine darf ablehnen. Genau weil das langweilig ist, funktioniert es.

Drei Regeln, die jetzt produktiv gehen können

Exfiltration absichtlich unbequem machen. Kein Werkzeug sollte gleichzeitig sensible Daten lesen und an beliebige Ziele im Netz senden können. Neue Empfänger brauchen eine explizite Zielrichtlinie und idealerweise Bestätigung.

Capability Tokens statt ambienter Macht. Der Agent erhält eine eng begrenzte, kurzlebige Freigabe für die konkrete Aufgabe. Kein breites Credential mit der Hoffnung, der System Prompt bleibe inspirierend.

Vorgeschlagene Aktionen strukturiert protokollieren. „Der Agent fand es okay“ ist keine Kontrolle. Erfassen Sie Nutzerziel, Herkunft der Aktionsparameter, Tool, Ziel, Policy-Entscheid und Bestätigungsstatus. So lassen sich Vorfälle untersuchen und Schutzpfade testen.

Es gibt keinen magischen Klassifikator, der legitime und bösartige Anweisungen dauerhaft trennt. Bei Phishing wissen wir das seit Jahrzehnten. Bei Agenten ist es schlimmer: Sie können im selben Zug überzeugt und ermächtigt werden.

Die Antwort ist nicht Verzweiflung, sondern nüchternes Engineering: wenig Standardberechtigung, Aktionen an explizite Absicht binden, Ziele einschränken und den Übergang von Worten zu Folgen prüfen.

Filter werden besser. Modelle werden besser. Angreifer auch.

Berechtigungen kontrollieren wir selbst.

Quellen