17 Prozent melden KI-gestützte Angriffe, 11 Prozent haben einen Notfallprozess

Am 7. Oktober 2026 haben das BSI und der TÜV-Verband die KI-Sicherheitsstudie 2026 vorgestellt; befragt wurden 505 Unternehmen ab 20 Mitarbeitenden. 17 Prozent melden für die vorangegangenen zwölf Monate einen KI-gestützten Cyberangriff oder Betrugsversuch — aufgeschlüsselt 4 Prozent bestätigte Fälle, 11 Prozent Verdachtsfälle, 2 Prozent beides.

Interessanter ist die Gegenzahl. Etwa jedes zehnte Unternehmen hat spezielle Schutzmaßnahmen, und nur 11 Prozent derjenigen, die KI nutzen oder nutzen wollen, haben einen Notfallprozess; die Herausgeber rechnen mit einer höheren Dunkelziffer. Die Nachricht ist nicht, dass solche Angriffe irgendwann kommen, sondern dass sie da sind und kein Plan für den Fall existiert.

Auf einen Blick

• Was die Studie sagt: 17 Prozent von 505 befragten Unternehmen melden in zwölf Monaten einen KI-gestützten Angriff oder Betrugsversuch — 4 Prozent bestätigt, 11 Prozent Verdacht, 2 Prozent beides.
• Was folgt: Etwa jedes zehnte Unternehmen hat Schutzmaßnahmen, 11 Prozent einen Notfallprozess; darüber liegt laut den Herausgebern eine höhere Dunkelziffer.
• Der Haken: Die neue Angriffsfläche ist die Prompt-Ebene, nicht das Modell — begrenzbar über knappe Rechte am Werkzeug.

Die Zahlen, differenziert gelesen

Verdachtsfälle sind keine bestätigten Fälle; die Summe aus beidem ist keine Fallzahl.

Zur Verbreitung: Nach einer Bitkom-Erhebung von Ende September 2026 nutzt erstmals die Mehrheit der Unternehmen ab 20 Mitarbeitenden KI — 57 Prozent bei 603 Befragten, nach 36 Prozent im Vorjahr. Das sind Selbsteinschätzungen; gemessene Produktivitätskennzahlen enthält die Erhebung nicht.

Zwei datierte Vorfälle, und wo sie hinzeigen

GitLab AI Gateway, 2. Oktober 2026, CVE-2026-90970. Berichtet wird, dass ein authentifizierter Nutzer eine Flow-Konfiguration so bauen konnte, dass sie aus der Sandbox für Prompt-Templates ausbrach und Befehle auf dem Gateway ausführte; der Patch erschien am selben Tag. Gebrochen ist die unscheinbarste Stelle im Aufbau: die Textvorlage, aus der der Prompt entsteht. Die Angabe stammt aus einer Community-Sammelübersicht, nicht aus dem GitLab-Advisory.

Browser-Agenten im Feld, Oktober 2026. Palo Alto Unit 42 berichtet, webbasierte indirekte Prompt Injection gegen Browser-Agenten in der Praxis beobachtet zu haben, und ergänzt: Lange Gesprächshistorien machen Agenten anfälliger. Das ist Herstellerforschung mit unklarer Datierung.

Das Muster ist älter: Bei der Agentenplattform Manus führte im September 2026 eine Prompt Injection per E-Mail laut Salt Labs zu Codeausführung und zum Diebstahl von Zugangsdaten für Gmail, GitHub und Dropbox. Das ist die ganze Kette in einem Satz — fremder Inhalt, Agent, verbundene Konten.

Die Prompt-Ebene ist eine Vertrauensgrenze

Überall sonst ist das Prinzip eingeübt: Eingaben von außen werden geprüft, bevor sie etwas auslösen. Beim Prompt wird es übersprungen, weil er sich nicht wie eine Eingabe anfühlt, sondern wie ein Gespräch. Fremder Inhalt, den ein Agent liest — die Webseite, die Mandantenmail, das PDF —, kann Anweisungen enthalten, und das Modell trennt Daten nicht von Befehlen. Wer die Prompt-Ebene als „nur Text“ behandelt, hat die Grenze nicht gezogen, sondern nur nicht gesehen. Der GitLab-Fall zeigt sie von der anderen Seite: Dort war nicht die Eingabe das Problem, sondern die Vorlage, die sie umrahmt.

Drei Einwände, die man sich anhören muss

Erstens: 17 Prozent sind keine beeindruckende Zahl. Richtig, und sie stehen auf weichem Grund — Selbstauskünfte, zwei Drittel davon Verdachtsfälle. Der Fehler geht aber in beide Richtungen: Wer keine Erkennung hat, meldet auch nichts.

Zweitens: „KI-gestützt“ ist eine weite Kategorie. Bei 90 Prozent der Betroffenen geht es um Phishing — ein altes Angriffsmodell mit niedrigeren Kosten, gegen das Freigaberegeln helfen, nicht KI-Sicherheitstechnik. Die Oktober-Vorfälle treffen nur, wer Agenten an Werkzeuge und Konten gelassen hat.

Drittens: Die Quellenlage der Vorfälle ist weicher als die Studienzahlen. Die CVE-Angabe stammt aus einer Community-Sammlung, der Befund zu Browser-Agenten ist Herstellerforschung — als Muster taugt das, als Zahl im Risikobericht nicht.

Fast alles von außen endet an der Vertrauensgrenze — bis ein fremder Inhalt sie überschreitet und jenseits davon als Anweisung weiterläuft.

Was das für Ihr Unternehmen heißt

Behandeln Sie Prompt-Templates und Flow-Konfigurationen wie Code. Versionskontrolle, Review, und der Versionsstand der KI-Gateways gehört in dieselbe Patch-Routine wie die übrige Infrastruktur — im GitLab-Fall lag der Patch am Tag der Meldung bereit, was nur hilft, wenn jemand ihn einspielt. Das braucht ein Wartungsbudget.

Begrenzen Sie am Werkzeug, nicht im Prompt. Die Mindesthärtung aus diesen Fällen: je angebundenem Dienst eine eigene Identität mit knappen Rechten statt des Benutzer-Tokens, Lesezugriff als Standard, menschliche Bestätigung für alles, was nach außen wirkt — Zahlungen, Mails, Löschungen —, begrenzte Gesprächshistorien, und interne Zugänge im Bedrohungsmodell, denn im GitLab-Fall genügte ein authentifizierter Nutzer. Wer Agenten auf Mandantenpost setzt, sollte klären, wer dafür haftet; eine Ebene tiefer liegen die Zugangsdaten der Entwicklungsumgebung.

Schreiben Sie den Notfallprozess auf, bevor Sie ihn brauchen. Vier Antworten genügen: wer bemerkt es, wer entscheidet, wie wird ein Agent oder Zugang abgeschaltet, wen informieren Sie in welcher Frist. Dazu die Liste der angebundenen Dienste je Agent, sonst ist unklar, welche Konten zu sperren sind — ein Abschnitt in der KI-Richtlinie, kein Projekt.

Fazit

Die Studie belegt keine Welle, sondern eine Schere: mehr gemeldete Betroffenheit als Vorbereitung, bei einer Dunkelziffer über beiden Werten. Der schwierige Teil ist nicht die Technik — die Mindesthärtung oben kostet Tage, nicht Budgets —, sondern die Entscheidung, die Prompt-Ebene so misstrauisch zu behandeln wie jedes andere Eingabefeld. Einen verbindlichen Prüfkatalog für Agenten gibt es bislang nicht; dazu folgt ein eigener Beitrag.

Wenn Sie wissen wollen, wie Ihre KI-Werkzeuge in diesem Raster abschneiden, sprechen wir darüber. Ich beurteile solche Fragen als Wirtschaftsjurist und betreibe die Werkzeuge selbst.

FAQ

Was besagt die KI-Sicherheitsstudie 2026 von BSI und TÜV-Verband?

Vorgestellt am 7. Oktober 2026, befragt wurden 505 Unternehmen ab 20 Mitarbeitenden. 17 Prozent melden für zwölf Monate einen KI-gestützten Angriff oder Betrugsversuch: 4 Prozent bestätigt, 11 Prozent Verdacht, 2 Prozent beides. Etwa jedes zehnte hat spezielle Schutzmaßnahmen, nur 11 Prozent der KI-nutzenden oder -planenden Betriebe einen Notfallprozess. Bei 90 Prozent der Betroffenen ging es um Phishing.

Was bedeutet indirekte Prompt Injection für ein Unternehmen?

Ein Agent, der fremde Inhalte liest, liest auch Anweisungen, die jemand dort für ihn hinterlegt hat. Palo Alto Unit 42 berichtet für Oktober 2026 solche Angriffe gegen Browser-Agenten im Feld; lange Gesprächshistorien machen anfälliger. Begrenzen lässt sich der Schaden über knappe Rechte am Werkzeug.

Was war der Vorfall im GitLab AI Gateway (CVE-2026-90970)?

Berichtet wird, dass ein authentifizierter Nutzer am 2. Oktober 2026 eine Flow-Konfiguration so bauen konnte, dass sie aus der Prompt-Template-Sandbox ausbrach und Befehle auf dem Gateway ausführte; der Patch erschien am selben Tag. Die Angabe stammt aus einer Community-Sammelübersicht, nicht aus dem Advisory.

Was gehört in einen Notfallprozess für KI-Sicherheitsvorfälle?

Vier Antworten, schriftlich und vor dem ersten Vorfall: wer bemerkt es, wer entscheidet, wie wird ein Agent oder Zugang abgeschaltet, wen informieren Sie in welcher Frist. Dazu eine Liste der angebundenen Dienste je Agent, sonst ist unklar, welche Konten zu sperren sind. Nach der Studie fehlt das bei 89 Prozent der Betriebe mit KI-Bezug.

---

Quellen — Stand 08.10.2026

• BSI und TÜV-Verband, KI-Sicherheitsstudie 2026 (07.10.2026, Primärquelle) — https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/261007_KI-Sicherheitsstudie_TUEV_BSI.html
• Bitkom-Erhebung zur KI-Nutzung — https://www.handelsblatt.com/technik/it-internet/bitkom-studie-mehrheit-der-unternehmen-nutzt-ki-bedenken-bleiben/100254357.html
• Palo Alto Unit 42, Prompt Injection gegen Agenten — https://unit42.paloaltonetworks.com/ai-agent-prompt-injection/
• CVE-2026-90970 (GitLab AI Gateway), Community-Sammlung — https://github.com/webpro255/awesome-ai-agent-attacks
• Manus-Vorfall (Salt Labs, September 2026) — https://aviatrix.ai/threat-research-center/manus-prompt-injection-vulnerability-2026/

Zur Quellenlage: Belastbar sind die Studienzahlen der BSI-Primärquelle. Die Bitkom-Zahl beruht auf Selbsteinschätzungen; eine abweichende Nutzungsquote war nicht belastbar und bleibt weg. Die CVE-Angabe stammt aus einer Community-Sammlung, Unit 42 und der Manus-Fall sind Herstellerforschung mit unklarer Datierung.

Dieser Beitrag ist allgemeine Information und keine Rechtsberatung im Einzelfall. Stand 8. Oktober 2026; bitte prüfen Sie vor Entscheidungen den aktuellen Stand.