Versatile AI Risk Assessment

KI-Bedrohungskatalog Prompt-Angriffe und Umgehung von Schutzmechanismen Produktion

Prompt Injection – Indirekt

Bösartige Anweisungen stecken versteckt in externen Inhalten wie Dokumenten, Webseiten oder E-Mails. Verarbeitet das KI-System diesen Inhalt im normalen Betrieb, führt es die versteckten Befehle unbemerkt mit aus.

Stand: Oktober 2026 · Katalogversion 2026.10.24.2 · 5 Gegenmaßnahmen · 12 belegte Quellen

Beschreibung

Bei der indirekten Prompt Injection stammt die Manipulation nicht von der nutzenden Person, sondern von Dritten, die präparierte Inhalte platzieren. Angreifer tarnen die Anweisungen, etwa als weiße Schrift auf weißem Grund, in Schriftgröße Null oder in einem Video-Transkript. Ruft das Modell solche Quellen ab, zum Beispiel beim Zusammenfassen einer Webseite oder in einem RAG-System (Retrieval Augmented Generation), das zur Beantwortung von Fragen externe Dokumente heranzieht, behandelt es den versteckten Text als Anweisung. Betroffen ist meist die Person, die dem System vertraut, nicht der Angreifer selbst.

Mögliche Auswirkung

Das System kann Zusammenfassungen verfälschen, Nutzende auf schädliche Links lenken oder vertrauliche Daten an eine fremde Adresse ausleiten, etwa durch das Nachladen externer Bilder. In verbundenen Systemen können versteckte Befehle E-Mails aus dem Postfach des Opfers versenden oder weitere Aktionen anstoßen. Das schädigt Datenschutz, Betrieb und Vertrauen.

Beispiel

Eine Mitarbeiterin lässt sich vom KI-System eine eingegangene E-Mail zusammenfassen. In der Nachricht steht unsichtbarer Text, der das System anweist, den bisherigen Chatverlauf an eine externe Adresse zu schicken. Das System befolgt die versteckte Anweisung, ohne dass es jemand merkt.

Empfohlene Gegenmaßnahmen (5)

Vergleichen Sie Wirkung und Umsetzungsebene. Die ergänzende Einordnung und Begründung können Sie bei Bedarf aufklappen.

  • Validierung der Inhaltsquellen

    Technisch
    Wirkung
    Präventiv
    Umsetzungsebene
    Daten, Anwendung, API & Agenten
    Einordnung und Begründung

    Primär technisch: Systemseitige Prüf-, Transformations- oder Blockierregeln stoppen oder neutralisieren unzulässige Inhalte vor der Weiterverarbeitung.

  • Sandbox-Verarbeitung externer Inhalte

    Technisch
    Wirkung
    Präventiv, Schadensbegrenzend
    Umsetzungsebene
    Anwendung, API & Agenten, Infrastruktur
    Einordnung und Begründung

    Primär technisch: Architektur- und Laufzeitgrenzen trennen Daten, Ausführung oder Mandanten und begrenzen die Fehlerausbreitung.

  • Ausgabe-Filterung und -Review

    Technisch
    Wirkung
    Präventiv
    Umsetzungsebene
    Anwendung, API & Agenten
    Einordnung und Begründung

    Ergänzende MaßnahmenartOrganisatorisch & prozessual

    Primär technisch: Systemseitige Prüf-, Transformations- oder Blockierregeln stoppen oder neutralisieren unzulässige Inhalte vor der Weiterverarbeitung; ergänzt durch verbindliche Abläufe.

  • Tool-Zugriff in RAG-Kontexten einschränken

    Technisch
    Wirkung
    Präventiv
    Umsetzungsebene
    Anwendung, API & Agenten
    Einordnung und Begründung

    Ergänzende MaßnahmenartOrganisatorisch & prozessual

    Primär technisch: Maschinell erzwungene Identitäts-, Berechtigungs- oder Bereichsregeln begrenzen unzulässige Zugriffe und Aktionen; ergänzt durch verbindliche Abläufe.

  • Provenienz-Tracking für abgerufene Inhalte

    Technisch
    Wirkung
    Aufdeckend
    Umsetzungsebene
    Daten, Anwendung, API & Agenten
    Einordnung und Begründung

    Ergänzende MaßnahmenartOrganisatorisch & prozessual

    Primär technisch: Kryptografische oder maschinenprüfbare Merkmale sichern Vertraulichkeit, Integrität oder Herkunft; ergänzt durch verbindliche Abläufe.

Standard-Zuordnungen

Verifizierte Fundstellen in OWASP, NIST AI RMF, MITRE ATLAS, EU AI Act und weiteren Rahmenwerken. Die Zuordnungen zeigen fachliche Bezüge. Sie belegen nicht, dass ein System die jeweiligen Anforderungen erfüllt.

OWASP LLM Top 10 LLM01:2026NIST AI RMF Abschnitt 2.9 · NISTAML.015MITRE ATLAS AML.T0051.001EU AI Act Article 14(4)(d) · Article 55(1)(a)BSI R28 · R3 · R7BIML BIML-LLM input:2 · BIML-LLM LLMtop10:5 · BIML-LLM raw:10

Belegte Referenzen (12)

Jede Referenz nennt Rahmenwerk, Fundstelle und die herausgebende Organisation.

Pflichten der KI-Verordnung zu dieser Bedrohung

Die Pflichten aus dem Pflichtenkompass, deren Artikel der Katalog dieser Bedrohung zuordnet. Jede führt auf ihren Eintrag mit Kern, Handlungsschritt und Nachweis; ob sie Sie trifft, hängt von Rolle und Risikoklasse ab.

  • Menschliche Aufsicht bei der Systemgestaltung berücksichtigen Art. 14 · gilt ab Anhang III: 2. Dezember 2027 · Anhang I: 2. August 2028

    Gesetzliche Rollen: Anbieter, Produkthersteller. Klassen: Hochrisiko nach Anhang III, Hochrisiko als Produkt oder Sicherheitsbauteil.

    Der Verweis ist ein Prüfanlass. Ein Bedrohungstreffer allein begründet keine Anwendbarkeit.

  • Systemische Risiken bewerten und mindern Art. 55 · gilt ab 2. August 2025

    Gesetzliche Rollen: Anbieter eines KI-Modells mit allgemeinem Verwendungszweck. Klassen: Modell mit systemischem Risiko.

    Der Verweis ist ein Prüfanlass. Ein Bedrohungstreffer allein begründet keine Anwendbarkeit.

Alle 62 Pflichten nach Rolle, Risikoklasse und Frist im Pflichtenkompass

Begriffe auf dieser Seite

Fachbegriffe aus dem Glossar, die in diesem Eintrag vorkommen. Jeder Verweis führt zur vollständigen Erklärung.

Weitere Einträge aus der Themengruppe Prompt-Angriffe und Umgehung von Schutzmechanismen.

Prompt Injection – Direkt Angreifer schreiben Anweisungen direkt in ihre Eingabe, damit das KI-System seine ursprünglichen Vorgaben ignoriert und stattdessen ihren … Jailbreaks Mit Tricks wie Rollenspielen, hypothetischen Szenarien oder kodierten Eingaben bringen Angreifer das KI-System dazu, seine … Extraktion des Meta-Prompts Angreifer bringen das KI-System dazu, seinen verborgenen System-Prompt, seine Konfiguration oder interne Instruktionen preiszugeben.

Passende Anwendungsfälle

Die Liste zeigt, wo Sie diese Bedrohung prüfen, nicht wie hoch das Risiko ist.

Besonders wichtig bei:

  • Generativer KI-Assistent für BeschäftigteEine Beschäftigte lässt eine eingegangene E-Mail zusammenfassen, in der versteckte Anweisungen stehen. Der Assistent befolgt sie und liefert eine verfälschte Zusammenfassung oder eine irreführende Empfehlung.
  • KI-Assistent in BüroanwendungenJemand von außen schickt eine E-Mail mit versteckten Anweisungen, die der Assistent beim nächsten Suchlauf mitliest. Er befolgt sie, ohne dass die Person die E-Mail je geöffnet hat.
  • KI-Wissensassistent (Enterprise Search)In einem Herstellerhandbuch oder einer Chatnachricht stehen versteckte Anweisungen an das Sprachmodell. Der Assistent befolgt sie und gibt Inhalte aus anderen Dokumenten preis, wie bei Slack AI gezeigt.
  • KI-AgentEin präpariertes Ticket oder eine Schadenmeldung enthält Anweisungen, die der Agent als Auftrag versteht. Er führt sie mit seinen Systemrechten aus, etwa indem er Daten weitergibt oder einen Vorgang freigibt.
  • Textanalyse von Rückmeldungen und Stellungnahmen (Text Analytics)Eine Interessengruppe reicht viele Stellungnahmen ein, in denen versteckte Anweisungen an das Sprachmodell stehen. Die Auswertung gewichtet dann ihre Position stärker, als es der Zahl der Antworten entspricht.
  • Coding-AssistentEine präparierte Datei in einem fremden Projekt oder ein Kommentar in einer Abhängigkeit enthält versteckte Anweisungen an den Assistenten. Er schlägt dann unsicheren Code vor oder gibt Inhalte aus seinem Kontext preis.
  • Coding-AgentEin Ticket, eine README-Datei oder eine Webseite, die der Agent liest, enthält versteckte Anweisungen. Der Agent führt sie mit seinen Rechten aus, etwa indem er Dateien löscht oder Zugangsdaten ausliest.

Üblich bei:

Bei 11 weiteren Anwendungsfällen hängt es vom Aufbau des Systems ab, etwa davon, ob es Aufträge in normaler Sprache ausführt. Diese Anwendungsfälle zeigen

Häufige Fragen

Worum geht es bei dieser Bedrohung?
Bösartige Anweisungen stecken versteckt in externen Inhalten wie Dokumenten, Webseiten oder E-Mails. Verarbeitet das KI-System diesen Inhalt im normalen Betrieb, führt es die versteckten Befehle unbemerkt mit aus.
Welche Gegenmaßnahmen nennt der Katalog?
Der Katalog nennt 5 Gegenmaßnahmen, jede mit Maßnahmenart, Wirkung und Umsetzungsebene. Beispiele sind: Validierung der Inhaltsquellen, Sandbox-Verarbeitung externer Inhalte und Ausgabe-Filterung und -Review. Die Reihenfolge ist keine Priorisierung.
Welche Pflichten der KI-Verordnung können relevant sein?
Der Katalog ordnet diese Bedrohung Art. 14 und Art. 55 der EU-KI-Verordnung zu. Daraus folgen im Pflichtenkompass: Menschliche Aufsicht bei der Systemgestaltung berücksichtigen und Systemische Risiken bewerten und mindern. Ob eine Pflicht gilt, entscheiden Rolle, Risikoklasse und Frist.

Diese Bedrohung im eigenen System bewerten

Die Live-Demo enthält alle 52 Bedrohungen dieses Katalogs sowie die Einordnung nach der EU-KI-Verordnung und die Datenschutzprüfung. Die kostenlosen Einzelmodule decken KI-Risiko, EU-KI-VO und DSGVO ab. Ohne Registrierung; die Bewertung läuft lokal in Ihrem Browser.

Live-Demo starten Kostenlose Module ansehen

Diesen Eintrag zitieren

Für Berichte, Richtlinien oder interne Unterlagen; der Link führt direkt auf diesen Eintrag.

„Prompt Injection – Indirekt“. Versatile AI Risk Assessment, KI-Bedrohungskatalog, Stand Oktober 2026.
https://www.versatile-ai-risk-assessment.com/wissensbasis/bedrohungen/prompt-injection-indirekt/

← Zurück zum vollständigen Katalog