Welche Sicherheitsrisiken bringen KI-Browser für Ihr Unternehmen?

Was ist ein KI-Browser, und was ist anders?

Ein KI-Browser ist ein Webbrowser mit eingebautem KI-Agenten, der Seiten lesen, Inhalte zusammenfassen, Formulare ausfüllen und in Ihrem Auftrag in anderen Web-Apps handeln kann. Diese Autonomie ist die Funktion und zugleich die Angriffsfläche.

Ein Beispiel: Ein Marketingteam beginnt, einen KI-Browser zu nutzen, um Berichte zusammenzufassen. Es funktioniert, also ziehen Kollegen nach. Wochen später liest der Assistent eine Seite mit versteckten Anweisungen und sendet den Inhalt eines geöffneten SharePoint-Dokuments an eine externe Adresse. Niemand hat etwas Verdächtiges angeklickt, und es lief keine Malware.

Deshalb ist ein KI-Browser kein „Browser mit Chatbot“. Er ist ein Agent, der mit Ihren Sitzungen und Berechtigungen arbeitet. Werkzeuge für Endgeräte, auch eine EDR-Plattform, sehen einen normalen Browserprozess. Das Risiko liegt darin, was dem Agenten aufgetragen wird.

Wie funktioniert Prompt Injection in einem KI-Browser?

Prompt Injection bringt die KI dazu, Text eines Angreifers als Anweisung zu behandeln. OWASP führt sie als LLM01, das größte Risiko in seiner Liste für Anwendungen mit großen Sprachmodellen, und unterscheidet die direkte Injection (vom Benutzer eingetippt) von der indirekten Injection, die über externe Inhalte wie Websites oder Dateien eintrifft.

Die vier Phasen einer indirekten Prompt Injection

1. Die Falle. Ein Angreifer versteckt Anweisungen in Webinhalten: weißer Text auf weißem Grund, ein HTML-Kommentar, ein versteckter Kommentar in einem Forum oder eine kompromittierte Seite, der Sie normalerweise vertrauen.
2. Das Lesen. Sie bitten den Agenten, die Seite zusammenzufassen, oder er surft von allein dorthin. Der versteckte Text gelangt in den Kontext des Modells.
3. Die Aktion. Das Modell kann Ihre Anweisungen nicht zuverlässig von denen des Angreifers unterscheiden und befolgt sie: sichtbare Daten kopieren, eine URL öffnen, eine E-Mail entwerfen und senden.
4. Die Stille. Es lief kein Exploit-Code und es wurde keine Datei heruntergeladen, daher sehen klassische Sicherheitswerkzeuge eine gewöhnliche Browsersitzung.

Das ist in der Praxis schon passiert. Forscher von Brave zeigten im August 2025, dass sich der Browser Comet von Perplexity dazu bringen ließ, Anweisungen zu befolgen, die hinter einem Spoiler-Tag auf einer Reddit-Seite versteckt waren, und ein Einmalpasswort für das Konto des Benutzers preiszugeben, wie The Register berichtete. Brave sagte später, das Problem sei noch nicht vollständig entschärft.

Warum ist Prompt Injection so schwer zu stoppen?

Weil ein Sprachmodell keine feste Grenze zwischen Anweisungen und Daten kennt. Klassische Abwehrmaßnahmen wie die Eingabevalidierung, die SQL-Injection gelöst hat, lassen sich nicht übertragen.

Im Beitrag „Prompt injection is not SQL injection (it may be worse)“ vom 8. Dezember 2025 erklärt das britische National Cyber Security Centre, dass in einem LLM „nicht zwischen ‚Daten‘ und ‚Anweisungen‘ unterschieden wird; es gibt immer nur das ‚nächste Token‘“. Das NCSC warnte, Prompt Injection lasse sich „möglicherweise nie so vollständig eindämmen, wie es bei SQL-Injection-Angriffen möglich ist“, und die Bemühungen sollten sich darauf richten, Risiko und Auswirkungen zu verringern.

Die Anbieter sehen es genauso. In Continuously hardening ChatGPT Atlas against prompt injection (Dezember 2025) schrieb OpenAI, Prompt Injection werde „ähnlich wie Betrug und Social Engineering im Web wahrscheinlich nie vollständig ‚gelöst‘“.

Sind KI-Browser im Arbeitsalltag sicher?

Nicht standardmäßig. Ein KI-Browser erbt jede Berechtigung des angemeldeten Benutzers, vom Postfach über Dateifreigaben bis zu Admin-Konsolen, und übergibt sie an einen Agenten, den Seiteninhalte lenken können.

Analysten haben deutlich reagiert. Am 9. Dezember 2025 riet Gartner, dass „CISOs alle KI-Browser auf absehbare Zeit blockieren müssen, um die Risikoexposition zu minimieren“, wie TechNewsWorld berichtete. Zu Gartners Bedenken zählten Seitenleisten, die aktive Webinhalte, offene Tabs und den Browserverlauf an ein Cloud-Backend senden, und Agenten, die ohne ausdrückliche Zustimmung im Namen eines Benutzers handeln.

Für Organisationen in der EU gibt es drei besondere Punkte:

• Datenübermittlung. Sendet der Agent Seiteninhalte oder personenbezogene Daten zur Verarbeitung außerhalb des EWR, gilt für diese Übermittlung Kapitel V der DSGVO (ab Art. 44).
• Meldung von Datenpannen. Ein Abfluss personenbezogener Daten über einen manipulierten Agenten kann eine Verletzung des Schutzes personenbezogener Daten sein. Art. 33 DSGVO verlangt, sie der zuständigen Datenschutzaufsichtsbehörde innerhalb von 72 Stunden zu melden, wenn sie voraussichtlich zu einem Risiko für Personen führt.
• Risikomanagement. Für Einrichtungen im Anwendungsbereich von NIS2 umfasst Art. 21 Abs. 2 NIS2-Richtlinie die Sicherheit der Lieferkette (lit. d), Cyberhygiene und Schulungen (lit. g) sowie die Zugriffskontrolle (lit. i). Das gilt alles auch für KI-Tools, die auf Unternehmensdaten zugreifen. Siehe unseren Überblick zu Art. 21.

Ein pauschales Verbot treibt die Nutzung oft in den Untergrund. Blockieren Sie KI-Browser nicht komplett, behandeln Sie sie wie jede Software, die auf Unternehmensdaten zugreifen kann: nur freigegebene Versionen, eingeschränkte Konten, überwachte Nutzung.

Wie verringern Sie das Risiko von KI-Browsern? Ein Fünf-Schritte-Plan

Keine einzelne Maßnahme beseitigt das Risiko einer Prompt Injection, also schichten Sie mehrere. Die ersten vier Schritte verringern die Wahrscheinlichkeit eines Schadens, der fünfte begrenzt den Schaden, wenn doch etwas durchkommt.

1. Bestandsaufnahme und Entscheidung. Finden Sie heraus, welche KI-Browser und Erweiterungen schon im Einsatz sind. Blockieren Sie sie dann, wie Gartner rät, oder veröffentlichen Sie eine Liste freigegebener Tools und sperren Sie alles andere über die Geräteverwaltung.
2. Begrenzen Sie, was der Agent erreicht. Kein Surfen mit KI aus Administratorkonten. Halten Sie Agenten von Finanz-, Personal- und Patienten- oder Kundensystemen fern. OpenAI selbst empfiehlt den abgemeldeten Modus, wenn die Aufgabe Ihre Konten nicht braucht, und enge, konkrete Anweisungen an Agenten.
3. Halten Sie einen Menschen in der Schleife. Verlangen Sie eine Bestätigung, bevor der Agent Nachrichten sendet, Formulare abschickt oder Zahlungen auslöst, im Einklang mit der Empfehlung von OWASP, Aktionen mit hohem Risiko von Menschen freigeben zu lassen.
4. Schulen Sie für das neue Phishing. Ihre Mitarbeitenden wissen, dass sie Links misstrauen sollen. Zeigen Sie ihnen, dass eine Webseite ihren Assistenten angreifen kann, und nehmen Sie Prompt-Injection-Szenarien in die Awareness-Schulungen auf.
5. Gehen Sie vom Ausfall aus und schützen Sie die Daten. Halten Sie isolierte, unveränderliche Backups von Microsoft 365, Google Workspace und Endgeräten mit getrennten Zugangsdaten vor, damit ein Agent, der Daten löscht oder beschädigt, die Backups nicht mitreißen kann.

Prävention oder Wiederherstellung: Wo passt welche Maßnahme hin?

Prävention verringert, wie oft ein manipulierter Agent handeln kann. Die Wiederherstellung macht rückgängig, was er getan hat. Weil sich Injection nicht beseitigen lässt, brauchen Sie beides.

Bedenken Sie, dass auch native Werkzeuge Grenzen haben: Der Papierkorb von Microsoft 365 behält gelöschte Elemente bis zu 93 Tage, und was ein Agent daraus löscht oder was die Frist überschreitet, ist weg. Mehr dazu: Sichert Microsoft 365 meine Daten? und Wenn MFA umgangen wird: Warum ist das Backup Ihre letzte Verteidigungslinie?

Ihre nächsten Schritte

KI-Browser bringen echte Produktivitätsgewinne, aber auch einen Angriff, den heutige Werkzeuge nicht zuverlässig blockieren können und den die Hersteller nach eigenen Angaben nicht vollständig beheben können. Behandeln Sie den Agenten wie einen fähigen, aber fehlbaren Benutzer: Entscheiden Sie, ob Sie ihn zulassen, begrenzen Sie, was er erreichen kann, lassen Sie riskante Aktionen bestätigen und halten Sie einen getesteten Weg bereit, seine Fehler zurückzurollen.

Mindtime sichert Microsoft 365, Google Workspace und Endgeräte in unseren eigenen Tier-III-Rechenzentren in Deutschland und den Niederlanden, als unveränderliche Kopien (Object Lock) plus eine Air-Gap-Kopie, mit granularer Wiederherstellung einzelner Elemente und administrativen Aktionen, die durch MFA (Multi-Faktor-Authentifizierung) geschützt sind. Für Systemhäuser und MSPs hilft die EDR / RMM Platform von Mindtime, Endgeräte von Kunden gepatcht und nach den CIS-Benchmarks konfiguriert zu halten, während der MSP den Service betreibt.

Möchten Sie wissen, wie gut sich Ihre SaaS-Daten nach einem KI-bedingten Vorfall wiederherstellen ließen? Vereinbaren Sie eine kostenlose 15-minütige Demo.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.