Wenn sich Anthropic, Google, Amazon und Microsoft einig sind: Was der neue Sicherheitsstandard für Ihr Unternehmen bedeutet

Vier Unternehmen, die sich sonst um jeden Prozentpunkt Marktanteil bei Sprachmodellen bekriegen, haben sich Anfang Juli 2026 auf etwas geeinigt, das es in dieser Form noch nicht gab: einen gemeinsamen Massstab dafür, wie gefährlich ein KI-Jailbreak eigentlich ist. Anthropic hat zusammen mit Amazon, Google und Microsoft sowie weiteren Partnern aus dem sogenannten Project Glasswing die Cyber Jailbreak Severity Scale (CJS) vorgeschlagen – ein Bewertungsraster, das Sicherheitslücken in KI-Systemen künftig nach einheitlichen Kriterien einstuft. Für Geschäftsführer und IT-Verantwortliche im Mittelstand klingt das zunächst nach einem Thema für Sicherheitsforscher in Rechenzentren, weit weg vom eigenen Tagesgeschäft. Das ist ein Trugschluss. Wer heute einen KI-Agenten für Kundenservice, Angebotserstellung oder interne Recherche einsetzt, sollte verstehen, was dieser Standard bedeutet, was er nicht bedeutet und welche Fragen er an den eigenen KI-Anbieter jetzt stellen sollte.

Ein seltener Schulterschluss unter Konkurrenten

Die Ankündigung fiel nicht zufällig auf den 1. Juli 2026. An diesem Tag hat Anthropic sein Cybersicherheits-Modell Claude Fable 5 wieder freigeschaltet, nachdem die US-Regierung zuvor kurzzeitig Exportkontrollen für die besonders leistungsfähigen Modelle Fable und Mythos verhängt hatte. Der Hintergrund: Amazon hatte dem US-Handelsministerium gemeldet, dass sich die Sicherheitsvorkehrungen von Fable umgehen liessen – ein Jailbreak, der ausgerechnet bei einem Modell auftrat, das gezielt für offensive Cybersicherheitsaufgaben wie das Aufspüren von Softwareschwachstellen entwickelt wurde. Genau in diesem Moment der Unsicherheit haben Anthropic, Amazon, Google und Microsoft der Branche ein gemeinsames Vokabular für den Ernstfall vorgeschlagen.

Das ist bemerkenswert, weil sich diese Unternehmen auf fast allen anderen Ebenen im offenen Wettbewerb befinden – bei Modellleistung, bei Cloud-Infrastruktur, bei der Frage, wessen Agenten-Ökosystem sich durchsetzt. Dass ausgerechnet beim Thema Sicherheit ein branchenweiter Konsens statt Konkurrenzverhalten entsteht, ist ein reales Novum und lässt sich glaubwürdig als Argument gegenüber skeptischen Geschäftsführungen nutzen: Sicherheit wird zunehmend selbst zum Wettbewerbsfeld, nicht nur ein Compliance-Kästchen, das man abhakt. Wenn die grössten Anbieter am Markt öffentlich einräumen, dass ihre eigenen Spitzenmodelle umgangen werden konnten, und daraus einen gemeinsamen Bewertungsstandard ableiten, ist das ein Signal, dass Jailbreaks kein theoretisches Randproblem mehr sind, sondern ein Risiko, mit dem operative Prozesse rechnen müssen.

Eingebettet ist die CJS-Initiative in Project Glasswing, ein Programm, bei dem ausgewählte Partner – anfänglich rund 50 Organisationen wie AWS, Google, Microsoft, Cisco, CrowdStrike, JPMorganChase, NVIDIA, Palo Alto Networks, Cloudflare, Mozilla, Apple, Broadcom und die Linux Foundation, im Juni 2026 erweitert um rund 150 weitere Organisationen aus 15 Ländern – Zugang zu Anthropics besonders leistungsfähigem Modell Claude Mythos erhalten. Ihr Auftrag: Softwareschwachstellen in kritischer Infrastruktur aufspüren, bevor Angreifer sie finden. Der neue Bewertungsstandard ist also kein isoliertes Regelwerk, sondern der sicherheitstechnische Unterbau eines deutlich grösseren Programms, das genau jene Schwachstellen produktiv nutzt, die ein Jailbreak in falschen Händen erst gefährlich machen würde.

Für die Einordnung ist wichtig, dass es sich beim CJS-Framework bislang ausdrücklich um einen vorgeschlagenen, freiwilligen Industriestandard handelt – nicht um eine gesetzlich verankerte Norm und auch nicht um eine offiziell von Gremien wie NIST oder ISO übernommene Spezifikation. Das schmälert seinen praktischen Wert nicht zwangsläufig, sollte aber bei der Kommunikation gegenüber Geschäftsführung oder Kunden nicht verschwiegen werden: Wer heute mit „wir orientieren uns an branchenweiten Sicherheitsstandards" wirbt, sollte präzise sagen können, um welchen Standard es sich handelt und welchen verbindlichen Charakter er tatsächlich hat.

Wie die CJS-Skala funktioniert

Die Cyber Jailbreak Severity Scale unterscheidet fünf Stufen: CJS-0 (Informational, keine neuen Angreiferfähigkeiten), CJS-1 (Low), CJS-2 (Medium), CJS-3 (High) und CJS-4 (Critical). Entscheidend ist dabei ein Detail, das leicht übersehen wird: Die Abstufung ist exponentiell gedacht, nicht linear. Jede Stufe soll ein Vielfaches kritischer sein als die vorherige – ein CJS-3-Jailbreak ist also nicht einfach "etwas gefährlicher" als CJS-2, sondern in seinen möglichen Auswirkungen um ein Mehrfaches gravierender. Zur Einordnung mag der Vergleich mit Schweregrad-Systemen aus der klassischen IT-Sicherheit hilfreich sein, etwa mit CVSS-Bewertungen für Softwareschwachstellen. Dieser Vergleich stammt allerdings von uns zur Einordnung und ist keine Aussage, die Anthropic selbst so getroffen hat.

Bewertet werden Jailbreaks entlang vier Achsen. Erstens der Capability Gain: Wie weit bringt eine Technik einen Angreifer über bereits frei verfügbare Werkzeuge hinaus? Zweitens die Breadth: Auf wie viele unterschiedliche offensive Aufgaben lässt sich die Technik anwenden – ist sie ein Nischentrick oder ein universelles Werkzeug? Drittens die Ease of Weaponization: Wie viel menschlicher Aufwand ist nötig, um aus der Technik einen echten Angriff zu machen? Und viertens die Discoverability: Wie bekannt oder leicht auffindbar ist die Technik bereits – ist sie in einschlägigen Foren dokumentiert oder ein bislang unbekannter Zero-Day-Kniff?

Für die schwerste Kategorie – Jailbreaks, die aktiv gegen kritische Infrastruktur eingesetzt werden – will Anthropic ab Bestätigung des Schweregrads sofort Gegenmassnahmen ausrollen. Dafür gibt es ein Team, das die Jailbreak-Meldekanäle rund um die Uhr überwacht. Unternehmen und Sicherheitsforscher können Feedback zum Framework an eine eigens eingerichtete E-Mail-Adresse senden und Jailbreaks über ein Bug-Bounty-Programm auf HackerOne melden. Zur eigentlichen Zielsetzung des Frameworks lässt sich Anthropic mit folgendem Satz zitieren:

„Ziel ist ein Standard, der defensive Nutzung ermöglicht, aber Missbrauch verhindert." — Anthropic, zur Zielsetzung des CJS-Frameworks

Diese Formulierung ist wichtiger, als sie auf den ersten Blick wirkt. Sie beschreibt den Balanceakt, vor dem jeder Anbieter leistungsfähiger KI-Systeme steht: Ein Modell, das Sicherheitsforschern hilft, Schwachstellen zu finden, kann in falschen Händen genau dieselbe Fähigkeit nutzen, um sie auszunutzen. Ein gemeinsamer Bewertungsmassstab soll verhindern, dass diese Gratwanderung dem Zufall oder dem Wettbewerbsdruck einzelner Anbieter überlassen bleibt.

Interessant ist zudem, wie schnell sich der Kreis der beteiligten Organisationen ausgeweitet hat. Von den anfänglich rund 50 Partnern im April 2026 ist das Programm binnen zwei Monaten auf rund 200 Organisationen aus 15 Ländern angewachsen. Diese Wachstumsgeschwindigkeit legt nahe, dass die beteiligten Unternehmen tatsächlichen operativen Nutzen aus der Zusammenarbeit ziehen – ein Programm, das nur der Öffentlichkeitsarbeit diente, würde kaum in dieser Geschwindigkeit neue, teils konkurrierende Partner aufnehmen. Für einen Mittelstandsbetrieb, der selbst nicht Teil dieses exklusiven Kreises ist und es vermutlich auch nie sein wird, bleibt trotzdem die Beobachtung wichtig: Die grossen Cloud- und Sicherheitsanbieter, auf deren Infrastruktur viele mittelständische IT-Systeme ohnehin aufbauen, investieren gerade spürbar in genau diese Fragestellung.

Was Project Glasswing bereits an Zahlen liefert

Wie ernst es den beteiligten Unternehmen mit der Sache ist, zeigen die bislang veröffentlichten Zahlen aus Project Glasswing. Seit dem Start im April 2026 wurden nach Angaben von Anthropic über 10.000 Schwachstellen mit hohem oder kritischem Schweregrad in kritischer Software identifiziert. Cloudflare berichtet von rund 2.000 gefundenen Bugs, davon etwa 400 als High oder Critical eingestuft, bei einer Falsch-Positiv-Rate, die besser ausfällt als bei rein menschlichen Testern. Mozilla meldet für Firefox 271 gefundene Schwachstellen – rund zehnmal mehr als beim Vorgängermodell. Bei einem breiter angelegten Scan quelloffener Software wurden 23.019 potenzielle Schwachstellen über mehr als 1.000 Projekte hinweg geflaggt, davon 6.202 als High oder Critical eingestuft. Von 1.752 kritischen Funden, die Anthropic gemeinsam mit sechs unabhängigen Sicherheitsfirmen geprüft hat, bestätigten sich über 90 Prozent als echte, validierte Treffer.

Diese Grössenordnungen sind aus zwei Gründen relevant, auch wenn sie zunächst wie eine reine Erfolgsmeldung aus der Anthropic-Pressestelle klingen. Erstens zeigen sie, dass die gleiche Modellklasse, die Jailbreaks ermöglicht, in kontrollierten Bahnen auch defensive Wirkung in einer Grössenordnung entfalten kann, die mit klassischen manuellen Audits kaum erreichbar wäre. Zweitens – und das ist der Punkt, an dem Vorsicht angebracht ist – stammen praktisch alle diese Zahlen von Anthropic selbst oder von Partnern, die Anthropic öffentlich zitiert. Eine unabhängige Drittvalidierung über die genannten Partnerfirmen hinaus liegt bislang nicht vor. Das schmälert die Aussagekraft nicht grundsätzlich, sollte aber bei der Einordnung mitgedacht werden, bevor man diese Zahlen unternehmensintern als abschliessenden Beweis für Sicherheit zitiert.

Die Einschränkung, die im Kleingedruckten steht

An dieser Stelle ist ein Punkt fällig, der in vielen Kurzmeldungen zu diesem Thema untergeht: Das CJS-Framework wurde primär im Kontext von Anthropics offensiven Cybersecurity-Spezialmodellen Fable und Mythos entwickelt – Modellen, die gezielt darauf trainiert sind, Schwachstellen in Software zu finden. Es ist nicht in erster Linie für alltägliche Kundenservice-Chatbots, interne Assistenten oder die Art von Automatisierung gedacht, die ein mittelständisches Unternehmen typischerweise im Einsatz hat.

Die Übertragung auf normale Unternehmens-KI-Agenten ist deshalb eine sinnvolle Analogie und keine direkte Aussage der vier beteiligten Unternehmen. Niemand von Anthropic, Google, Amazon oder Microsoft hat erklärt, dass jeder x-beliebige Chatbot künftig nach der CJS-Skala bewertet wird. Was sich aber sehr wohl übertragen lässt, ist das dahinterliegende Prinzip: eine systematische, nachvollziehbare Klassifizierung von Sicherheitsvorfällen, kombiniert mit einer klar definierten Reaktionszeit für die kritischsten Fälle. Genau dieses Prinzip sollten Sie von Ihrem eigenen Software- und Agentenanbieter einfordern, auch wenn dieser keinen direkten Zugriff auf Fable oder Mythos hat und nie haben wird.

Der Unterschied zwischen "der Standard gilt für mein System" und "das Prinzip hinter dem Standard sollte mein Anbieter auch verfolgen" ist keine Spitzfindigkeit. Wer diesen Unterschied verwischt, verkauft ein Sicherheitsversprechen, das so nicht existiert – und genau das schadet dem Vertrauen in KI-Anbieter am Ende mehr, als es hilft.

Jailbreaks sind längst ein operatives Risiko, kein akademisches

Wer glaubt, Jailbreaks seien ein Nischenproblem für Forschungslabore, sollte einen Blick auf die Zahlen zur Erfolgsquote werfen. Nach einer Untersuchung, die zwar nicht an der Primärquelle verifiziert werden konnte, aber häufig zitiert wird, gelingen Jailbreak-Versuche gegen generative KI im Durchschnitt in rund 20 Prozent der Fälle. Bei visuellen Jailbreak-Angriffen auf multimodale KI-Systeme sollen laut derselben Quelle Erfolgsquoten von bis zu 98,21 Prozent erreicht werden, bei kreativen Angriffsformaten – etwa in Gedichtform formulierten Prompts – zwischen 43 und 62 Prozent. Diese konkreten Prozentzahlen sind mit Vorsicht zu geniessen, weil sie sich in dieser Recherche nicht an der genannten Primärquelle gegenprüfen liessen. Die Grössenordnung allein sollte aber aufhorchen lassen: Selbst konservativ gerechnet ist ein relevanter Anteil der Jailbreak-Versuche gegen aktuelle KI-Systeme erfolgreich, keine seltene Ausnahme.

Das Open Web Application Security Project (OWASP) führt Prompt Injection und Jailbreaking in seiner Top-10-Liste für LLM-Anwendungen weiterhin als eine der grössten Schwachstellenklassen bei produktiv eingesetzten Systemen. Wichtig für den Mittelstand: Das betrifft nicht nur Chat-Oberflächen, sondern ausdrücklich auch Agenten mit Werkzeugzugriff, RAG-Pipelines, Modell-Router und Speicherfunktionen – also genau die Art von Automatisierung, die zunehmend im Einsatz ist, wenn ein Kundenservice-Bot direkt an das CRM angebunden ist oder ein interner Assistent auf Vertragsdatenbanken zugreifen darf.

Eine Prognose von Kiteworks für 2026 verschärft das Bild zusätzlich: Danach fehlen 55 bis 63 Prozent der Unternehmen ausreichende Zugriffs- und Eindämmungskontrollen für ihre KI-Agenten. Das heisst im Klartext: Selbst wenn das zugrundeliegende Sprachmodell bestens abgesichert ist, kann ein schlecht konfigurierter Agent mit zu weitreichenden Rechten auf Kundendaten, Zahlungsinformationen oder interne Systeme zum eigentlichen Einfallstor werden. Der CJS-Standard adressiert die Modellebene. Die Zugriffskontrollen auf Agentenebene liegen in Ihrer eigenen Verantwortung als Unternehmen, das den Agenten einsetzt – und genau da entsteht bei mehr als der Hälfte der Betriebe aktuell eine Lücke.

Diese Zugriffskontrollen sind kein abstraktes IT-Thema, sondern lassen sich an einem alltäglichen Beispiel greifbar machen: Ein Kundenservice-Agent, der an ein CRM-System angebunden ist, um Bestellstatus oder Vertragsdaten abzurufen, benötigt in aller Regel keinen Schreibzugriff auf Zahlungsinformationen oder die Möglichkeit, Rabatte eigenständig zu gewähren. Wird ein solcher Agent über einen erfolgreichen Prompt-Injection-Angriff dazu gebracht, Anweisungen aus einer manipulierten Kundenanfrage oder einem eingebetteten Dokument als legitime Systemvorgabe zu behandeln, entscheidet genau diese Rechtebegrenzung darüber, ob am Ende ein harmloser Fehler oder ein echter finanzieller Schaden entsteht. Das beste Basismodell der Welt schützt nicht vor einem Agenten, der mehr darf, als er für seine eigentliche Aufgabe braucht.

Die zeitliche Parallele zum EU AI Act

Der freiwillige Industriestandard fällt nicht zufällig in eine Phase, in der auch der Gesetzgeber nachzieht. Ab dem 2. August 2026 tritt Artikel 50 des EU AI Act verbindlich in Kraft: Transparenzpflichten, die Unternehmen dazu zwingen offenzulegen, wenn Kundinnen und Kunden mit einer KI interagieren – etwa mit einem Chatbot. Diese Kennzeichnung muss spätestens bei der ersten Interaktion sichtbar erfolgen, nicht erst irgendwo in den Allgemeinen Geschäftsbedingungen versteckt. Bei Verstössen drohen Bussgelder von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ausfällt.

Für Sie als Mittelstandsunternehmen ergibt sich daraus eine doppelte Verpflichtung, die sich gegenseitig verstärkt. Auf der einen Seite steht der freiwillige, aber zunehmend zum Marktstandard werdende Anspruch, dass Anbieter von KI-Systemen Sicherheitsvorfälle systematisch klassifizieren und schnell reagieren. Auf der anderen Seite steht die gesetzliche Pflicht, den Einsatz von KI gegenüber Kundinnen und Kunden transparent zu machen. Beides betrifft im Kern dieselbe Frage: Wie verantwortungsvoll setzen Sie eine Technologie ein, die sich – wie die Jailbreak-Zahlen zeigen – nicht vollständig kontrollieren lässt? Wer jetzt beide Themen zusammen denkt, spart sich später doppelte Nacharbeit bei Dokumentation und Kennzeichnung.

Was Sie jetzt konkret tun sollten

Aus der Kombination von freiwilligem Industriestandard und gesetzlicher Transparenzpflicht lässt sich eine klare Handlungsliste für Ihren Betrieb ableiten. Zunächst sollten Sie vor Abschluss oder Verlängerung eines Vertrags mit einem KI-Agenten-Anbieter schriftlich Auskunft über dessen Jailbreak- und Incident-Response-Prozess verlangen – analog zu bestehenden IT-Sicherheits- und Datenschutzaudits, die in vielen Betrieben ohnehin schon Standard sind. Konkret bieten sich vier Fragen an, die Sie an jeden Anbieter stellen können:

Erstens: Nach welchem Verfahren beziehungsweise welcher Skala werden bei Ihrem Anbieter Jailbreaks oder Sicherheitslücken klassifiziert und priorisiert? Zweitens: Gibt es eine festgelegte Reaktionszeit, wenn ein kritischer Jailbreak oder eine Umgehung der Sicherheitsvorkehrungen bekannt wird, und wer überwacht das? Drittens: Wie und wie schnell werden Sie als Kunde informiert, wenn ein Sicherheitsproblem im eingesetzten Modell oder Agenten auftritt? Und viertens: Welche Zugriffs- und Eindämmungskontrollen – also Rechte, Datenzugriff, Rate-Limits – hat der Agent auf Ihre sensiblen Kundendaten, Zahlungsdaten oder internen Systeme, unabhängig davon, welches Basismodell darunterliegt?

Parallel dazu sollten Sie die Kennzeichnungspflicht aus Artikel 50 nicht als lästige Formalie, sondern als ohnehin fälliges Projekt behandeln: Chat-Widgets, E-Mail-Signaturen automatisierter Antworten und Telefonmenüs mit Sprach-KI müssen erkennbar machen, dass eine Kundin oder ein Kunde es mit einem KI-System zu tun hat. Wer diese Kennzeichnung jetzt sauber umsetzt, statt erst kurz vor dem 2. August 2026 in Hektik zu verfallen, gewinnt doppelt: rechtliche Sicherheit und – weil Transparenz nachweislich Vertrauen schafft – ein besseres Verhältnis zu den eigenen Kunden.

Auch bei der Dokumentation lohnt sich der Doppelblick: Wenn Sie ohnehin für Artikel 50 festhalten müssen, an welchen Kontaktpunkten Ihre Kundinnen und Kunden mit KI-Systemen interagieren, können Sie in demselben Dokument gleich vermerken, welchen Anbieter und welches Modell Sie an dieser Stelle einsetzen und welche Zusicherungen dieser Anbieter zu Jailbreak-Erkennung und Reaktionszeit gemacht hat. So entsteht aus zwei getrennten Pflichten – einer regulatorischen und einer selbst auferlegten – ein einziges, wartbares Register, das im Zweifelsfall auch gegenüber Aufsichtsbehörden oder Versicherern als Nachweis sorgfältigen Handelns dient.

Am Ende bleibt eine nüchterne Einschätzung: Der CJS-Standard schützt nicht automatisch Ihren Kundenservice-Bot, nur weil vier grosse Namen ihn unterschrieben haben. Aber er zeigt, wohin sich die Branche bewegt – hin zu systematischer, nachvollziehbarer Bewertung von KI-Sicherheitsrisiken statt Einzelfallreaktionen. Wenn Sie diese Denkweise heute schon von Ihren eigenen Anbietern einfordern, sind Sie morgen nicht nur besser geschützt, sondern auch besser vorbereitet auf die nächste Verschärfung der Regulierung, die mit Sicherheit kommen wird.