Prompt Injection bezeichnet einen Angriff auf Anwendungen mit Sprachmodellen, bei dem schädliche Anweisungen in Inhalte eingebettet werden, die das System verarbeitet, sodass es diese als Befehle statt als Daten behandelt. Der Angriff gilt als das bedeutsamste Sicherheitsrisiko produktiver LLM-Anwendungen und wird von OWASP seit 2023 an erster Stelle geführt.
Zusammenfassung
Die Ursache ist strukturell: Sprachmodelle verarbeiten Anweisungen und Daten im selben Eingabestrom, ohne verlässliche Trennung.
Was ein Entwickler als zu verarbeitenden Inhalt vorsieht – eine Webseite, eine E-Mail, ein Dokument –, kann Anweisungen enthalten, denen das Modell folgt. Mit der Verbreitung agentischer Systeme, die Werkzeuge aufrufen und auf Daten zugreifen, wurde daraus ein Risiko mit unmittelbarer Wirkung: Ein erfolgreicher Angriff kann Daten abfließen lassen oder Handlungen im Namen des Nutzers auslösen.
Anders als bei klassischen Injektionsangriffen existiert keine zuverlässige Abwehr, weil das Grundproblem in der Funktionsweise des Modells selbst liegt.
Formen
| Form | Wo die Anweisung steht | Typischer Fall |
|---|---|---|
| Direkt | in der Nutzereingabe | Umgehung von Systemvorgaben |
| Indirekt | in verarbeiteten Fremddaten | präparierte Webseite, E-Mail, Dokument |
| Multimodal | in Bild, Audio oder Video | in Bilddaten eingebetteter Text |
| Über Werkzeuge | in Rückgaben aufgerufener Dienste | manipulierte Suchergebnisse, API-Antworten |
Direkte Injection entspricht in weiten Teilen dem Jailbreaking: Der Nutzer selbst versucht, Vorgaben zu umgehen. Der Schaden trifft primär den Anbieter.
Indirekte Injection ist der sicherheitskritische Fall. Hier ist der Nutzer das Opfer, nicht der Angreifer. Ein Assistent, der eine Webseite zusammenfassen soll, liest dort eine Anweisung und führt sie aus – etwa den Inhalt des Postfachs an eine fremde Adresse zu senden. Diese Variante wurde 2023 systematisch beschrieben und ist seit NIST AI 100-2 E2025 auch in der maßgeblichen Angriffstaxonomie erfasst.
Abgrenzung zum Jailbreak
Beide Begriffe überschneiden sich, unterscheiden sich aber in Ziel und Betroffenen:
| Jailbreak | Prompt Injection | |
|---|---|---|
| Ziel | Umgehung von Inhaltsvorgaben | Übernahme der Systemsteuerung |
| Angreifer | meist der Nutzer selbst | meist ein Dritter |
| Opfer | Anbieter, mittelbar Dritte | Nutzer der Anwendung |
| Angriffspunkt | Modell | Anwendung um das Modell |
Die tödliche Dreiheit
In der Sicherheitsdiskussion hat sich eine Faustregel durchgesetzt, die den gefährlichen Fall auf drei gleichzeitig erfüllte Bedingungen zurückführt. Ein System ist demnach angreifbar, wenn es
- Zugang zu vertraulichen Daten hat,
- Inhalte aus nicht vertrauenswürdigen Quellen verarbeitet und
- nach außen kommunizieren kann.
Jede der drei Eigenschaften ist für sich harmlos. Ein Assistent, der Postfächer liest, aber nichts von außen aufnimmt, ist unbedenklich; ebenso einer, der Fremdtexte zusammenfasst, aber keine vertraulichen Daten sieht. Erst das Zusammentreffen schafft den vollständigen Angriffspfad: Die fremde Anweisung gelangt hinein, findet etwas Schützenswertes und hat einen Weg hinaus.
Der praktische Wert dieser Zerlegung liegt darin, dass sie den Entwurfsspielraum benennt. Da sich Bedingung zwei bei einem nützlichen Assistenten kaum ausschließen lässt, richtet sich die Absicherung auf die beiden anderen: Zugriffe auf Vertrauliches minimieren, Ausgangskanäle beschränken oder an eine ausdrückliche Bestätigung binden.
Bemerkenswert ist, dass die naheliegendste Ausgangsmöglichkeit oft übersehen wird – bereits das Nachladen eines Bildes von einer fremden Adresse genügt, um Daten in der Adresszeile nach außen zu tragen.
Warum die Abwehr schwer ist
In klassischer Softwaretechnik werden Injektionsangriffe durch strikte Trennung von Code und Daten gelöst – etwa durch vorbereitete Datenbankabfragen. Bei Sprachmodellen fehlt diese Trennung: Das Modell erhält eine Zeichenfolge und entscheidet selbst, was darin Anweisung ist.
Vorgeschlagene Gegenmaßnahmen wirken daher nur mildernd:
- Kennzeichnung von Datenbereichen durch Trennmarken oder Rollenangaben – von hinreichend geschickten Eingaben umgehbar.
- Vorgeschaltete Klassifikatoren, die Eingaben auf Anweisungsmuster prüfen – mit Fehlerraten in beide Richtungen.
- Rechteminimierung: Das System erhält nur die Werkzeugzugriffe, die es benötigt. Damit sinkt der Schaden eines erfolgreichen Angriffs, nicht dessen Wahrscheinlichkeit.
- Bestätigung durch den Nutzer vor folgenreichen Handlungen.
- Trennung von Datenquellen und Handlungsbefugnis in der Architektur.
Die letzten drei sind Entwurfsentscheidungen der Anwendung, keine Modelleigenschaften. Fachlich gilt dies als der tragfähigere Weg: Nicht das Modell abzusichern, sondern die Folgen eines Fehlverhaltens zu begrenzen.
Bedeutung für Agentensysteme
Mit Systemen, die Werkzeuge aufrufen, Dateien lesen und Nachrichten versenden, verschiebt sich der Schaden vom Ausgabetext zur Handlung. Das NIST erweiterte seine Taxonomie 2025 eigens um Schwachstellenkategorien für autonome Agenten, darunter indirekte Prompt Injection und die Vergiftung von Modellgedächtnissen.
OWASP veröffentlichte Ende 2025 ein eigenes Verzeichnis der zehn wichtigsten Risiken agentischer KI. Der Grundgedanke ist in beiden Fällen derselbe: Je mehr ein System selbständig tun darf, desto folgenreicher wird jede Übernahme seiner Steuerung.
Verwandte Begriffe
- Jailbreak – verwandte, aber anders gelagerte Angriffsform
- Red-Teaming – Prüfverfahren, das solche Angriffe sucht
- Agentic AI – Systemklasse mit dem höchsten Risiko
- Model Context Protocol – Schnittstellenstandard für Werkzeugzugriffe
- Adversarielle Robustheit – Stabilität gegenüber konstruierten Eingaben
- Datenexfiltration – häufige Schadwirkung
- Retrieval-Augmented Generation – Architektur mit besonderer Angriffsfläche
Quellenangaben
- Greshake, Kai u. a., 2023. Not What You’ve Signed Up For: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection. In: Proceedings of the 16th ACM Workshop on Artificial Intelligence and Security (AISec 2023), S. 79–90. DOI: 10.1145/3605764.3623985.
- NIST (2025): Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations.
- OWASP (2025): OWASP Top 10 for Large Language Model Applications. Ausgabe 2025.
- Perez, Fábio / Ribeiro, Ian (2022): Ignore Previous Prompt: Attack Techniques For Language Models. arXiv: 2211.09527.
- Sinha, Anusha / Grimes, Keltin / Lucassen, James / Feffer, Michael / VanHoudnos, Nathan / Wu, Zhiwei Steven / Heidari, Hoda (Carnegie Mellon University / Software Engineering Institute) (2025): From Firewalls to Frontiers: AI Red-Teaming is a Domain-Specific Evolution of Cyber Red-Teaming. arXiv: 2509.11398.
← Zurück zur Lexikon-Übersicht
Zuletzt bearbeitet: 10. August 2026
Zusammengestellt, formuliert, lektoriert und korrigiert mit KI-Unterstützung. Kuratiert von Nils Brauer. Alle Angaben ohne Gewähr.