Wenn Ihr Marketing-Agent liest, was andere geschrieben haben: Prompt Injection als blinder Fleck

Ihr Social-Media-Agent beantwortet Kommentare unter Ihren Beiträgen. Ein Kunde schreibt eine echte Frage zur Lieferzeit, ein anderer Nutzer hinterlässt einen Kommentar, der aussieht wie eine Frage, in dem aber ein Satz steht, der sich an den Agenten richtet und nicht an Ihre Community. Haben Sie schon einmal geprüft, was Ihr Agent in diesem Fall tut? Die Frage ist unbequem, weil sie ein Risiko beschreibt, das mit dem Einsatz von Agenten verbunden ist und das sich nicht durch das Kaufen eines besseren Produkts erledigt.

Dieser Artikel ist ein Evergreen-Thema und keine Nachricht von heute. Er stützt sich auf eine Einordnung von Help Net Security vom 11. Juni 2026 zu den Arbeiten des OWASP GenAI Security Project. Wir ordnen ihn zwei Mitgliedern unseres Marketing-Teams zu: Natascha aus dem Social-Media-Team, die laufend Kommentare und Reaktionen liest, und Lotte aus dem Research-Team, die täglich Trends und fremde Inhalte sichtet. Beide lesen Texte, die andere geschrieben haben. Genau darum geht es.

Was „Prompt Injection“ bedeutet, ohne Fachsprache

Ein Sprachmodell bekommt Anweisungen und Material, und für das Modell sind beides Text. Es kann nicht zuverlässig unterscheiden, was eine Anweisung Ihres Unternehmens ist und was nur ein Stück Inhalt, das es lesen soll. „Prompt Injection“ nennt man den Versuch, einem Agenten über solchen Inhalt eine Anweisung unterzuschieben. Bei der direkten Variante tippt jemand die Anweisung selbst ein. Bei der indirekten Variante steckt sie in einem Text, den der Agent im Rahmen seiner Arbeit liest: in einer Produktbewertung, einem Kommentar, einer E-Mail, einer fremden Webseite.

Eine Einordnung in unseren Worten, ausdrücklich keine Aussage der Quelle: Bei einem reinen Chatbot endet eine solche Manipulation meist bei einer falschen Antwort. Bei einem Agenten, der Werkzeuge bedienen darf, kann daraus eine falsche Handlung werden, eine Antwort im Namen Ihrer Marke, eine Veröffentlichung oder die Weitergabe von Informationen. Je mehr ein Agent darf, desto mehr Gewicht hat dieser Unterschied.

Was die Quelle belegt

Der Beitrag von Help Net Security vom 11. Juni 2026 fasst Befunde von OWASP zusammen. Wir geben wieder, was dort steht:

• Die Übersicht „State of AI Surveyor“ von OWASP erfasst 53 Agentenprojekte, davon 28 Coding-Agenten.
• Prompt Injection lässt sich laut Beitrag sechs der zehn Kategorien in OWASPs „Top 10 for Agentic Applications“ zuordnen.
• Als Beispiel für die Folgen nennt der Beitrag eine Hintertür im Paketverzeichnis PyPI, die im März 2026 drei Stunden lang online war. Es ging um das Paket LiteLLM, im genannten Zeitraum gab es knapp 47.000 Downloads. Der Beitrag sagt nicht, dass jeder dieser Downloads die manipulierte Version betraf, und wir behaupten das auch nicht.
• OWASP betont laut Beitrag, dass KI-Sicherheit und klassische IT-Sicherheit bei autonomen Systemen, die auf Produktivdaten arbeiten, nicht in getrennten Teams liegen sollten. Das ist sinngemäß wiedergegeben.

Was der Beitrag nicht enthält: Er nennt nicht, welche sechs Kategorien gemeint sind, und er erklärt nicht, wie die 53 Projekte ausgewählt wurden. Der Beitrag selbst beschäftigt sich vor allem mit Coding-Agenten und nicht mit Marketing. Die Übertragung auf Marketing-Agenten ist unsere eigene Überlegung: Auch dort liest ein Agent Text von Dritten und kann handeln.

Entscheidend ist nicht, ob ein Agent Fremdtext liest. Entscheidend ist, was er aufgrund dieses Textes ohne Rückfrage tun darf.

Eine Regel aus der Praxis: drei Eigenschaften, höchstens zwei

Der Beitrag verweist auf zwei Denkmodelle, die sich auf Marketing übertragen lassen. Das erste stammt von Simon Willison und heißt „Lethal Trifecta“. Ein Agent, der gleichzeitig Zugriff auf private Daten hat, unbekannten Inhalten ausgesetzt ist und nach außen kommunizieren kann, lässt sich laut Beitrag zum Werkzeug für Datenabfluss machen.

Das zweite Modell hat Meta am 31. Oktober 2025 veröffentlicht, die „Agents Rule of Two“. Wir haben die Originalseite geprüft. Meta nennt drei Eigenschaften: Ein Agent kann nicht vertrauenswürdige Eingaben verarbeiten (A). Er kann auf sensible Systeme oder private Daten zugreifen (B). Er kann Zustände ändern oder nach außen kommunizieren (C). Wenn alle drei gleichzeitig nötig sind, soll der Agent laut Meta nicht autonom laufen, sondern mindestens beaufsichtigt werden, zum Beispiel durch eine menschliche Freigabe. Die Seite hält außerdem fest, Prompt Injection sei „eine grundlegende, ungelöste Schwäche aller Sprachmodelle“ (sinngemäß aus dem Englischen übersetzt).

Übertragen auf Ihr Marketing ergibt das eine einfache Prüffrage, die Sie ohne Technikkenntnisse stellen können. Nehmen wir einen Agenten für Kommentarantworten:

• A, fremde Texte: Er liest Kommentare von Außenstehenden. Ja.
• B, sensible Daten oder Systeme: Hat er Zugriff auf Kundenlisten, interne Preise, Entwürfe oder Kampagnenpläne? Das sollten Sie bewusst entscheiden.
• C, nach außen handeln: Darf er selbst veröffentlichen, antworten oder Nachrichten senden? Auch das ist eine Entscheidung.

Wenn A immer zutrifft, weil der Agent Kommentare liest, sollten höchstens eine der beiden anderen Eigenschaften ohne menschliche Freigabe zutreffen. Wer dem Agenten Kundendaten zeigt und ihn zugleich frei veröffentlichen lässt, gibt Außenstehenden mit einem einzigen Kommentar eine Hebelwirkung, die er nicht haben sollte.

Verfügbarkeit: Was ist das hier überhaupt?

Anders als bei einer Produktmeldung gibt es hier nichts, was man einführen oder freischalten könnte. Es ist kein Produkt, keine Testphase und kein Patch, sondern ein strukturelles Risiko, das bei Sprachmodellen mit Werkzeugen besteht. Es gilt unabhängig von Anbieter, Branche und Region, also auch im DACH-Mittelstand. Konkret bedeutet das:

• Es gibt keinen Schalter „Prompt-Injection-Schutz an“, auf den Sie sich verlassen sollten. Meta bezeichnet das Problem selbst als ungelöst.
• Mehrschichtige Vorsicht ist die realistische Antwort: möglichst wenige Rechte, getrennte Aufgaben, ein Freigabe-Schritt vor Handlungen mit Außenwirkung.
• Die konkreten Maßnahmen hängen vom Einsatz ab. Eine pauschale Empfehlung können wir nicht geben, und wir würden misstrauisch werden, wenn Ihnen jemand eine verspricht.

Natascha und Lotte: Wo sich das im Marketing zeigt

Natascha, Social Media. Auf unserer Webseite steht, dass sie Beiträge entwirft und dass nichts ohne Ihre Freigabe live geht. Vor der Freigabe läuft jeder Entwurf durch eine Markenprüfung. Kommentare und Direktnachrichten sind der Ort, an dem Außenstehende Text an einen Agenten richten. Für einen Einsatz in diesem Bereich würden wir festlegen, dass der Agent Antworten vorbereitet und ein Mensch sie freigibt, jedenfalls solange wir keine belastbaren Erfahrungen mit Ihren Kommentaren haben.

Lotte, Research. Sie sichtet laut Webseite täglich Trends auf mehreren Plattformen und verwirft, was nicht passt, mit Begründung. Wer fremde Seiten und Beiträge durchsucht, nimmt fremden Text auf. Das ist der Grund, warum eine Recherche-Aufgabe von einer Handlungs-Aufgabe getrennt sein sollte: Wer liest, sollte nicht zugleich veröffentlichen dürfen.

Beides sind keine Behauptungen, dass diese Agenten bereits irgendwo gegen einen Angriff getestet wurden. Es sind Beispiele dafür, wo wir im Audit hinsehen würden.

Drei Alltagsszenen aus dem Marketing

Die folgenden Szenen sind Gedankenspiele, keine berichteten Vorfälle. Sie sollen zeigen, wie die Prüffrage A-B-C im Alltag funktioniert.

Szene 1: Die Bewertungs-Zusammenfassung. Ein Agent fasst jede Woche die Rezensionen Ihrer Produkte zusammen. Er liest fremde Texte (A), hat aber keinen Zugriff auf interne Daten (B nein) und veröffentlicht nichts, er liefert eine Zusammenfassung an Ihr Team (C nein). Das Risiko ist begrenzt: Im ungünstigen Fall steht eine schiefe Zusammenfassung im Bericht, und jemand merkt es beim Lesen.

Szene 2: Die Wettbewerbsrecherche. Ein Agent durchsucht Webseiten von Mitbewerbern und schreibt daraus Vorschläge für Ihre Kampagnenplanung. Er liest fremde Texte (A) und kennt Ihre Kampagnenplanung (B ja), veröffentlicht aber nichts (C nein). Auch das lässt sich vertreten, solange die Ergebnisse intern bleiben und jemand sie prüft, bevor sie in eine Kampagne einfließen.

Szene 3: Die automatische Kommentarantwort. Ein Agent liest Kommentare (A), sieht Kundenlisten, um persönlich antworten zu können (B ja), und postet die Antworten selbst (C ja). Hier treffen alle drei Eigenschaften zusammen. Nach der Regel von Meta braucht dieser Agent mindestens eine Aufsicht, etwa eine menschliche Freigabe, bevor eine Antwort rausgeht. Die einfachste Änderung: Er sieht keine Kundenlisten, oder er bereitet nur Antworten vor, die jemand freigibt.

Der Unterschied zwischen den Szenen liegt nicht in der Qualität des Modells, sondern in den Rechten und im Freigabe-Schritt. Genau dort haben Sie als Unternehmen den größten Einfluss.

Noch ein Wort zur Erwartung: Niemand kann Ihnen heute zusichern, dass ein Agent, der fremde Texte liest, nie auf eine Anweisung hereinfällt. Sie können aber sicherstellen, dass ein einzelner Fehler nicht ausreicht, um etwas nach außen zu tragen. Das ist der praktische Maßstab, an dem wir ein Setup messen: nicht „Kann der Agent getäuscht werden?“, sondern „Was passiert dann?“.

Sechs Fragen an Ihr Marketing-Setup

1. Welche fremden Texte liest der Agent? Kommentare, Bewertungen, E-Mails, Webseiten, Dokumente von Dritten? Schreiben Sie die Liste auf.
2. Was darf er danach selbst tun? Antworten, Veröffentlichen, Versenden, Daten ändern? Jede dieser Handlungen gehört getrennt bewertet.
3. Welche Daten sieht er gleichzeitig? Kundenlisten, Preise, Entwürfe? Je mehr er sieht, desto größer der mögliche Schaden.
4. Wer sieht ungewöhnliche Aktionen, bevor sie nach außen gehen? Ein Freigabe-Schritt ist nur wirksam, wenn jemand ihn tatsächlich wahrnimmt.
5. Wie erkennen Sie, dass etwas schiefgelaufen ist? Gibt es ein Protokoll, das Sie lesen können? Ein Agent ohne Protokoll ist ein Blindflug.
6. Was ist das Schlimmste, das ein manipulierter Kommentar auslösen könnte? Wenn Sie keine Antwort haben, ist der Spielraum des Agenten zu groß.

Was Sie diese Woche vorbereiten können

Weil es kein Produkt gibt, das man einschaltet, geht es um Vorbereitung. Diese Schritte brauchen keine Technik und wirken unabhängig davon, welche Werkzeuge Sie einsetzen:

1. Inventur der Lesequellen. Notieren Sie für jeden eingesetzten KI-Assistenten und jeden Agenten, welche fremden Texte er verarbeitet. Das gilt auch für Werkzeuge, die Ihre Mitarbeitenden eigenständig nutzen.
2. Trennung von Lesen und Handeln. Wo möglich, lassen Sie Recherche und Veröffentlichung von unterschiedlichen Agenten oder Schritten erledigen, mit einer menschlichen Stelle dazwischen.
3. Die Freigabe-Liste schreiben. Welche Handlungen mit Außenwirkung gehen nie ohne Mensch raus? Antworten im Namen der Marke, Veröffentlichungen, Versand von Daten gehören fast immer dazu.
4. Rechte zurückschneiden. Prüfen Sie, ob der Agent Zugriff auf Daten hat, die er für seine Aufgabe nicht braucht, und entziehen Sie ihn.
5. Einen Testfall durchspielen. Lassen Sie Ihr Team in einer geschützten Umgebung einen Kommentar mit einer eingebauten Anweisung an den Agenten formulieren und beobachten Sie, was passiert. Machen Sie das nie mit echten Kundendaten und nie im Live-Kanal.

Wie das bei Amazing Agents aussieht

Wir beschreiben unser Vorgehen und keine Erfolgszahlen. Bei jedem Agenten klären wir, was er lesen darf, was er tun darf und wo ein Mensch freigibt. Für Social Media bedeutet das, wie auf unserer Webseite beschrieben: Entwürfe laufen durch eine Markenprüfung, und nichts geht ohne Ihre Freigabe live. Für Research-Aufgaben legen wir fest, dass die Ergebnisse vorbereitet werden und nicht ohne Weiteres in Außenkommunikation einfließen.

Wir behaupten nicht, dass damit jedes Risiko ausgeschlossen ist. Das wäre unredlich, solange selbst die Entwickler der Modelle das Problem als ungelöst bezeichnen. Wir behaupten, dass Grenzen und ein Freigabe-Schritt die Folgen eines Fehlers begrenzen, und dass Sie dann entscheiden, was nach außen geht.

Einordnung: Fremder Text ist keine Anweisung, solange ein Mensch hinsieht

Fassen wir zusammen. Wenn ein Agent Text liest, den andere geschrieben haben, kann dieser Text zur Anweisung werden. Laut Help Net Security lässt sich Prompt Injection sechs der zehn Kategorien in OWASPs Liste für agentische Anwendungen zuordnen, und Meta bezeichnet das Problem als ungelöst. Das ist kein Grund, auf Agenten zu verzichten. Es ist ein Grund, ihnen Grenzen zu geben: wenige Rechte, getrennte Aufgaben und ein Freigabe-Schritt vor jeder Handlung mit Außenwirkung.

Ein Agent mit Grenzen und Freigabe-Schritt unterscheidet sich von einem Agenten ohne diese nicht durch Cleverness, sondern dadurch, dass im Fehlerfall eine Person davorsteht, bevor etwas Ihr Haus verlässt.

Quellen

• Help Net Security (Anamarija Pogorelec): „Prompt injection still drives most agentic AI security failures in production“, helpnetsecurity.com/2026/06/11/owasp-prompt-injection-ai-security-failures, 11. Juni 2026 (Sekundärquelle zu OWASP; am 29. Oktober 2026 abgerufen).
• Meta: „Practical AI Agent Security“ mit der „Agents Rule of Two“, ai.meta.com/blog/practical-ai-agent-security, 31. Oktober 2025 (Primärquelle; am 29. Oktober 2026 abgerufen).
• OWASP GenAI Security Project: „State of Agentic AI Security and Governance“ und „Top 10 for Agentic Applications“ (nur über den Beitrag von Help Net Security zitiert, nicht selbst eingesehen).