Ein schnelleres Angebot, weniger Routinearbeit, kürzere Bearbeitungszeiten: Mit diesen Erwartungen setzen Unternehmen auf künstliche Intelligenz. Bei Wavect beobachten wir dabei jedoch eine gefährliche Lücke zwischen funktionierenden Demonstrationen und abgesichertem Betrieb. Beschäftigte wählen Werkzeuge und Anbieter nach eigener Einschätzung aus. Intern entwickelte KI-Agenten erhalten Zugriff auf Firmendaten und Anwendungen. Wer die Datenflüsse, Berechtigungen und Ergebnisse verbindlich kontrolliert, bleibt teilweise ungeklärt.
Wiederkehrende Schwachstellen
Unsere Praxisbeobachtungen betreffen kleinere wie größere Unternehmen. Wiederkehrende Schwachstellen sind fehlende technische Abschirmung, unzureichende Qualitätskontrollen sowie ungeklärte Datenschutz- und Compliance-Fragen. In meiner qualitativen Einordnung verbinde ich diese Beobachtungen mit öffentlich dokumentierten Sicherheitsfällen. Eine repräsentative Erhebung ist das nicht.
Wir erleben beim KI-Einsatz teilweise einen Wilden Westen. Die Eigeninitiative ist wertvoll. Gefährlich wird es, wenn aus einem gelungenen Versuch ein produktiver Geschäftsprozess wird, ohne dass jemand die Grenzen überprüft.
Nicht hochgeladen, trotzdem übertragen
Ein veranschaulichendes Szenario: Ein KI-Agent soll ein Kundenangebot vorbereiten. Dafür durchsucht er einen Projektordner und öffnet eine interne Kalkulation, um ihre Relevanz zu beurteilen. Werden die ausgelesenen Inhalte an ein extern betriebenes Sprachmodell geschickt, sind sie bereits außerhalb des Unternehmens verarbeitet worden. Dafür muss niemand die Datei ausdrücklich als Anhang hochladen.
Nicht jeder lokale Suchvorgang überträgt automatisch vollständige Dateien. Entscheidend ist, welche Inhalte tatsächlich in die Modellanfrage gelangen. Ebenso wenig bedeutet „lokal installiert“ automatisch „lokal verarbeitet“. Und die Zusage, Daten nicht zum Training zu verwenden, ist keine Zusage, dass sie weder übertragen noch gespeichert werden.
Die Antwort kann perfekt aussehen, obwohl auf dem Weg dorthin vertrauliche Daten unnötig an einen externen Anbieter gegangen sind. Wer nur das Ergebnis kontrolliert, übersieht diesen Teil des Risikos.
Eine Rückfrage ist noch kein Sicherheitskonzept
Wir sehen interne Umsetzungen, bei denen weitreichende Zugriffe vor allem durch die Erwartung abgesichert werden, die KI werde bei heiklen Schritten schon um Erlaubnis fragen. Das ist etwas anderes als eine technisch durchgesetzte Grenze.
Eine Sandbox, also eine abgeschirmte Arbeitsumgebung, begrenzt erreichbare Dateien, Programme und Netzwerkverbindungen. Solche Grenzen müssen außerhalb des Sprachmodells gelten. Eine Anweisung wie „Verändere keine wichtigen Daten“ ersetzt keine Zugriffssperre. Auch häufige Freigabefenster können zur Routine werden, wenn Beschäftigte nicht mehr genau prüfen, was sie bestätigen.
Wichtig ist die Unterscheidung: Eine Sandbox kann Zugriffe beschränken. Sie verhindert aber nicht automatisch, dass ausdrücklich zugelassene Daten an den vorgesehenen KI-Dienst übermittelt werden. Technische Isolation und zulässige Datenverarbeitung müssen daher getrennt geprüft werden.
Ich plädiere für einen klaren Übergang vom Experiment zum produktiven Betrieb: mit begrenzten Daten und Rechten, geprüften Softwarequellen, geschützten Zugangsdaten und nachvollziehbaren Qualitätskontrollen.
Kevin Riedl
Wenn der Agent Programme installiert, holt er fremden Code in den Betrieb
Darf ein Agent selbstständig Programme oder Softwarepakete nachinstallieren, erweitert sich das Risiko. Manipulierte Pakete können bereits bei der Installation Schadcode ausführen. Dass ein Werkzeug eine Aufgabe technisch löst, sagt nichts über seine Vertrauenswürdigkeit aus.
Ein dokumentierter externer Fall: Am 26. August 2025 veröffentlichten Angreifende manipulierte Pakete des Entwicklungswerkzeugs Nx. Laut dem offiziellen Untersuchungsbericht durchsuchten diese die betroffenen Systeme nach vertraulichen Informationen, versuchten dabei auch lokal installierte KI-Werkzeuge einzusetzen und übertrugen die Ergebnisse in öffentliche GitHub-Verzeichnisse. Die betroffenen Paketversionen wurden entfernt. Nx Cloud war laut Anbieter nicht betroffen.
Zusätzlich können Sprachmodelle Softwarepakete empfehlen, die gar nicht existieren. Eine auf der Usenix Security 2025 veröffentlichte Untersuchung dokumentiert solche erfundenen Paketnamen. Angreifende können versuchen, diese Namen für schädliche Pakete zu besetzen. Eine überzeugend klingende KI-Empfehlung ersetzt deshalb keine Prüfung der Softwarequelle.
Die wertvollsten Daten können die Zugangsschlüssel sein
Auf Arbeitsrechnern und in Konfigurationsdateien können API-Schlüssel, Datenbankpasswörter und Cloud-Zugänge liegen. Gelangen solche „Secrets“ in einen ungeschützten Arbeitsablauf, steht nicht nur der Inhalt einzelner Dokumente auf dem Spiel. Je nach Berechtigung ermöglichen sie Zugriff auf weitere Systeme. Der Nx-Untersuchungsbericht warnt ausdrücklich vor ungeschützt gespeicherten Zugangsdaten.
Wie weit ein Vorfall reicht, hängt von den tatsächlichen Rechten und weiteren Schutzmaßnahmen ab. Ein ausschließlich lesender Testzugang ist etwas anderes als ein Konto, das produktive Datenbanken verändern darf. Deshalb sollten Agenten nur die Funktionen und Zugänge erhalten, die für ihren Auftrag erforderlich sind.
Niemand würde einem neuen Dienstleister vorsorglich sämtliche Firmenschlüssel geben. Bei KI-Agenten entstehen vergleichbare Zugriffsrechte mitunter nebenbei. Dann wird aus einem kleinen Automatisierungsprojekt ein Risiko für zentrale Unternehmenssysteme.
Auch eine normale E-Mail kann zum Angriffsweg werden
Ein Angriff muss nicht als verdächtiges Programm auftreten. Manipulierte Anweisungen können in E-Mails, Webseiten oder Dokumenten stehen, die ein Agent für seine Arbeit verarbeitet. Bei dieser sogenannten Prompt Injection versuchen Angreifende, fremde Inhalte als Arbeitsauftrag wirksam werden zu lassen. Besonders kritisch wird es, wenn der Agent zugleich vertrauliche Daten lesen und Informationen versenden kann.
Das britische National Cyber Security Centre empfiehlt, auch die möglichen Folgen eines erfolgreich getäuschten Systems zu begrenzen. Für Geschäftsführungen heißt das, nicht nur zu fragen, ob die KI einen Angriff erkennt, sondern auch, welchen Schaden sie mit ihren Berechtigungen überhaupt anrichten könnte.
Der wirtschaftliche Nutzen endet nicht bei der gesparten Minute
Nicht jeder Schaden braucht Angreifende. Ein Agent kann einen Geschäftsfall falsch zuordnen oder eine unklare Anweisung in eine unerwünschte Aktion übersetzen. Ich empfehle daher verbindliche Prüfschritte vor folgenreichen Aktionen: Stimmen Empfänger, Datensatz und Betrag? Ist die Handlung freigegeben? Wurde der Vorgang bereits ausgeführt? Entscheidend ist das Ergebnis im betroffenen Geschäftssystem, nicht allein die Meldung „erledigt“.
Auch der Rückweg muss geklärt sein. Ein lokaler Wiederherstellungspunkt nimmt eine bereits ausgeführte Datenbankänderung oder eine Aktion in einem externen Dienst nicht automatisch zurück. Wiederholte Modell- und Werkzeugaufrufe brauchen zudem Kosten- und Laufzeitgrenzen. Sonst können automatisierte Abläufe Ressourcen verbrauchen, ohne entsprechenden Nutzen zu liefern.
Zehn eingesparte Minuten sind kein Geschäftserfolg, wenn danach zwanzig Minuten Kontrolle und Nacharbeit entstehen. Unternehmen sollten den gesamten Vorgang messen, nicht nur die Geschwindigkeit der ersten Antwort. Ich empfehle deshalb, Bearbeitungszeit, Prüfaufwand, Fehlerquote und laufende Kosten gemeinsam zu betrachten. Sicherheitskontrollen gehören in diese Rechnung hinein. Wer sie weglässt, weist keinen belastbaren Effizienzgewinn nach, sondern blendet einen Teil der Kosten und Risiken aus.
DSGVO: Für einen Verstoß braucht es keinen Datenhack
Personenbezogene Daten können bereits im normalen Arbeitsablauf rechtswidrig verarbeitet werden, etwa ohne passende Rechtsgrundlage oder über das erforderliche Maß hinaus. Dafür müssen sie weder öffentlich werden noch von Angreifenden gestohlen werden. Unternehmen müssen unter anderem Zweck, Datenminimierung, Zugriffsrechte und die erforderlichen vertraglichen Regelungen prüfen.
Für Übermittlungen außerhalb des Europäischen Wirtschaftsraums kommen zusätzliche Voraussetzungen hinzu. Ob ein Anbieter aus den USA, China oder Europa stammt, ersetzt keine Prüfung des konkreten Dienstes, seiner Verarbeitung und möglicher Unterauftragnehmer. Eine europäische Marke allein ist ebenso wenig ein Freibrief wie das Versprechen, Kundendaten nicht zum Training zu verwenden.
Der EU AI Act ist zusätzlich zu beachten. Die Maßnahmen zur Unterstützung der KI-Kompetenz bleiben relevant. Ein bestimmtes Zertifikat ist dafür laut EU-Kommission nicht vorgeschrieben. Welche weiteren Pflichten greifen, muss für den konkreten Einsatz geprüft werden. Ein Schulungsnachweis ersetzt keine technische Absicherung.
KI gehört nicht verboten, sondern verantwortet
Ich plädiere für einen klaren Übergang vom Experiment zum produktiven Betrieb: mit begrenzten Daten und Rechten, geprüften Softwarequellen, geschützten Zugangsdaten und nachvollziehbaren Qualitätskontrollen. Für jede Anwendung sollte feststehen, wer sie verantwortet, welche Geschäftsvorgänge sie beeinflussen darf und wie sie im Ernstfall samt ihren Zugängen gestoppt werden kann.
Die Geschäftsführung muss nicht jeden technischen Befehl verstehen. Aber sie sollte wissen: Welche Daten kann unsere KI sehen? Was darf sie selbstständig tun? Und wer hat diese Grenzen tatsächlich überprüft? Dass bisher nichts aufgefallen ist, ist kein Sicherheitsnachweis.
Bei Wavect prüfen wir gemeinsam mit Unternehmen deren KI-Nutzung auf Sicherheit, Effizienz und tatsächlichen Nutzen. Ausgangspunkt sind die eingesetzten Werkzeuge und Arbeitsabläufe, nicht der Verkauf einer weiteren KI-Lizenz. Ziel ist eine priorisierte Grundlage dafür, welche Anwendungen sinnvoll sind, welche abgesichert werden müssen und wo unnötige Kosten entstehen. Die kostenlosen KI-Checks werden weiterhin angeboten.
Der Gastautor
Kevin Riedl ist Gründer und Geschäftsführer von Wavect. Das österreichische Softwareunternehmen mit Sitz in Ampass in Tirol entwickelt Software und KI-Anwendungen, wird auf Clutch (und anderen Plattformen wie The Manifest, Goodfirms, Sortlist, ..) auf diversen Listen als #1 Software Agentur in Kategorien wie Künstliche Intelligenz, Softwareentwicklung, Softwaretesting und Blockchain gelistet (Oktober 2026).